Datenschutzerklärung

Diese Datenschutzerklärung informiert Sie darüber, welche personenbezogenen Daten Slotora verarbeitet, wenn Sie unsere Website slotora.io besuchen, sich als Salon, Studio oder Fachkraft registrieren, unsere Web-Anwendung oder unsere App für iOS und Android nutzen, sich im Gästebereich „Meine Termine“ anmelden oder sich über die Modellsuche als Modell bewerben. Sie erfüllt die Informationspflichten nach Art. 13 und 14 der Datenschutz-Grundverordnung (DSGVO).

1. Verantwortlicher

Verantwortlich für die Verarbeitung im Sinne von Art. 4 Nr. 7 DSGVO ist:

• Belavin Limited, handelnd unter der Bezeichnung „Slotora“, 6 Salstar Close, Birmingham B6 4PP, Vereinigtes Königreich
• Eingetragen bei Companies House (England and Wales) unter der Nummer 16735157; Rechtsform: Private company limited by shares (britische Kapitalgesellschaft)
• Vertretungsberechtigt: Béla Gulyás und Anita Gulyás
• E-Mail: hello@slotora.io · Telefon: +44 7450 771035
• Registriert bei der britischen Datenschutzaufsicht (Information Commissioner’s Office, ICO) unter der Nummer 00014129250

2. Vertreter in der Europäischen Union

Da wir keine Niederlassung in der Europäischen Union haben, haben wir nach Art. 27 DSGVO einen Vertreter in der Union benannt. Sie können sich in allen Fragen des Datenschutzes auch an ihn wenden: Prighter EU Rep GmbH, Schellinggasse 3/10, 1010 Wien, Österreich.

3. Datenschutzbeauftragter und Kontakt

Einen Datenschutzbeauftragten haben wir nicht benannt. Für alle Fragen zum Datenschutz und zur Ausübung Ihrer Rechte erreichen Sie uns unter hello@slotora.io. Wir antworten auf Deutsch oder Englisch.

4. Zwei Rollen: wann wir verantwortlich sind und wann der Salon

Slotora ist eine Software für Online-Terminbuchung und Salonverwaltung. Für die Daten, die wir für unsere eigenen Zwecke verarbeiten — Ihr Konto als Salon oder Teammitglied, die Nutzung unserer Website und App, unsere eigene Werbung, die Anmeldung im Gästebereich und die Modellsuche —, sind wir Verantwortlicher; dafür gilt diese Erklärung. Wenn Sie dagegen als Kundin oder Kunde bei einem Salon buchen, ist der Salon für Ihre Termindaten verantwortlich: Ihr Name, Ihre Kontaktdaten, Ihre Termine, Ihre Formularangaben und die Nachrichten, die der Salon Ihnen schickt. Slotora verarbeitet diese Daten nur im Auftrag und nach Weisung des Salons, als Auftragsverarbeiter nach Art. 28 DSGVO. Welche Daten der Salon wofür verwendet, erfahren Sie aus seinen eigenen Datenschutzhinweisen; Ihre Rechte richten Sie am besten direkt an ihn. Schreiben Sie uns, leiten wir Ihr Anliegen unverzüglich an den Salon weiter.

5. Besuch unserer Website

• Server-Protokolle: Bei jedem Aufruf übermittelt Ihr Browser technisch notwendige Daten an den Server — IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, die zuvor besuchte Seite und Angaben zum Browser und Betriebssystem. Unser Hosting-Anbieter Netlify verarbeitet sie, um die Seite auszuliefern und Angriffe abzuwehren; wir sehen sie nur, wenn wir einen Fehler oder einen Missbrauch untersuchen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der sichere und stabile Betrieb der Website. Die Protokolle werden nach den Fristen des Anbieters gelöscht.
• Anonyme Besuchszählung: Auf der Website zählen wir Seitenaufrufe ohne Cookies und ohne etwas auf Ihrem Gerät zu speichern. Dafür bilden wir aus IP-Adresse und Browserangaben einen Prüfwert mit einem Schlüssel, der täglich wechselt; die IP-Adresse selbst wird nicht gespeichert, und der Prüfwert lässt keinen Rückschluss auf Ihre Person zu. Wir löschen diese Zählungen frühestens nach 90 Tagen in einem täglichen Bereinigungslauf. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Interesse: zu wissen, welche Seiten gelesen werden).
• Schutz vor Bots: Bei Anmeldung, Registrierung, im Gäste-Chat einer Buchungsseite und bei einigen öffentlichen Formularen prüft Cloudflare Turnstile, ob ein Mensch das Formular absendet. Dabei sieht Cloudflare Ihre IP-Adresse und technische Merkmale Ihres Browsers, nie den Inhalt des Formulars. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Interesse: Schutz vor automatisierten Angriffen und Spam).
• Karten: Die Karte auf einer Buchungsseite stammt von OpenStreetMap. Um die Markierung zu setzen, übermitteln wir OpenStreetMap die Adresse des Salons, nie Ihre. Ihr Browser lädt die Karte von den Servern von OpenStreetMap, die dabei — wie jede Website — Ihre IP-Adresse sehen. OpenStreetMap handelt dabei in eigener Verantwortung.
• Kontaktformular: Wenn Sie uns über das Kontaktformular schreiben, verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse, das gewählte Thema und Ihre Nachricht, um Ihnen zu antworten. Das Formular schickt uns Ihre Nachricht als E-Mail (Versand über Resend) an unser Postfach. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn Ihre Anfrage einen Vertrag mit uns betrifft, sonst Art. 6 Abs. 1 lit. f DSGVO (Interesse: Anfragen beantworten). Wir löschen die Nachricht, wenn Ihr Anliegen erledigt ist und keine Aufbewahrungspflicht besteht.

6. Cookies, lokaler Speicher und Einwilligung

Wir speichern Informationen auf Ihrem Gerät oder lesen sie dort aus, wenn das für den von Ihnen gewünschten Dienst unbedingt erforderlich ist (§ 25 Abs. 2 Nr. 2 TDDDG; in Österreich § 165 Abs. 3 TKG 2021), und darüber hinaus nur mit Ihrer Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Die Leiste am unteren Rand der Website und der Salonverwaltung bietet drei gleich große Schaltflächen — „Ablehnen“, „Nur Statistik“ und „Alles akzeptieren“ (in unserer App nur die ersten beiden: dort fragen wir nicht nach Werbemessung, und das Meta-Pixel wird in der App nie geladen); solange Sie nicht antworten, wird nichts davon geladen. Ihre Antwort speichern wir im lokalen Speicher Ihres Browsers. Sie können sie jederzeit über den Link „Cookie-Einstellungen“ am Ende jeder Seite ändern; ein Widerruf wirkt ab der nächsten Seite, und die durch die Einwilligung gesetzten Cookies werden entfernt, soweit unsere Seite sie erreichen kann. Die vollständige Liste aller Cookies und Speichereinträge mit Namen und Dauer steht in unserer Cookie-Richtlinie.

• Unbedingt erforderlich (ohne Einwilligung): Ihre Anmeldung („session“, 30 Tage), die gewählte Sprache („locale“, „NEXT_LOCALE“, 1 Jahr), die Anmeldung im Gästebereich („slotora_guest“, 30 Tage) und in der Modellsuche („slotora_market“, 30 Tage), der Schutz beim Verbinden eines Xero-, QuickBooks- oder Meta-Kontos (10 Minuten), Einstellungen in der Salonverwaltung, die Sie selbst wählen (etwa die Kalenderansicht), und Ihre Antwort auf die Cookie-Leiste.
• Empfehlungscode: Öffnen Sie einen Link, mit dem ein Salon uns weiterempfiehlt, hält nur der geöffnete Tab dessen Code (Sitzungsspeicher „slotora.ref.pending“), bis Sie die Cookie-Leiste beantwortet haben. Erst nach „Nur Statistik“ oder „Alles akzeptieren“ speichern wir ihn sieben Tage lang im Cookie „ref“; lehnen Sie ab, löschen wir ihn. Den Code, mit dem Sie sich registrieren — den eines Salons oder einer Ausbilderin —, speichern wir stattdessen bei Ihrem Konto, damit die Empfehlung zugeordnet werden kann, wenn Sie Ihren Salon anlegen (Art. 6 Abs. 1 lit. b DSGVO). Ein Cookie „edu“ setzen wir nicht mehr.
• Nur mit Einwilligung in die Statistik („Nur Statistik“ oder „Alles akzeptieren“): Google Analytics auf der Website und in der Salonverwaltung (Cookies „_ga“, „_ga_…“), um zu sehen, welche Seiten helfen; dazu die Information, welches Plakat, welcher QR-Code oder welche Nachricht von uns Sie hergeführt hat („qr“, 7 Tage; „slotora.outreach“, 30 Tage). Auf der Buchungsseite eines Salons läuft kein Google Analytics. Google verarbeitet diese Daten als unser Auftragsverarbeiter.
• Nur mit „Alles akzeptieren“: das Werbe-Pixel von Meta (Cookies „_fbp“, „_fbc“) auf der Website und den Anmelde- und Registrierungsseiten und die Werbespeicherung des Google-Tags (Cookies „_gcl_…“). Damit erfahren wir, welche unserer Anzeigen einen Salon gebracht hat, der sich tatsächlich registriert. Ohne diese Einwilligung bleibt die Werbespeicherung von Google verweigert, und das Meta-Pixel wird nicht geladen. In der Salonverwaltung wird das Meta-Pixel nur einmal geladen, unmittelbar nach dem Anlegen des Salons und ohne Seitenaufrufe, um dieses Ereignis zu melden; die Werbespeicherung des Google-Tags gilt nach „Alles akzeptieren“ auch dort. Auf Buchungsseiten läuft beides nie.
• Meldungen von unserem Server: Haben Sie „Alles akzeptieren“ gewählt oder bei der Registrierung das Kästchen zur Werbemessung angekreuzt, speichern wir diese Antwort an Ihrem Konto, zusammen mit den Kennungen aus den Cookies „_fbp“, „_fbc“ und „_ga“. Legen Sie danach einen Salon an — auch in der App —, meldet unser Server das an Google Analytics (Measurement Protocol, mit der Kennung aus „_ga“). Die Registrierung und das Anlegen des Salons meldet er außerdem direkt an Meta (Conversions API), mit Ihrer E-Mail-Adresse als nicht umkehrbarem Prüfwert (SHA-256), Ihrer IP-Adresse, Angaben zu Ihrem Browser, den Meta-Kennungen aus den genannten Cookies, der Seite, dem Zeitpunkt und einer Referenznummer des Ereignisses. Ihren Namen übermitteln wir nicht. Geben Sie die Einwilligung erst später — die Cookie-Leiste erscheint auch in der Salonverwaltung und in der App —, melden wir eine Registrierung und einen Salon aus den sieben Tagen davor zu diesem Zeitpunkt. Ohne diese Einwilligung findet keine Meldung statt. Für die Erhebung und Übermittlung dieser Daten an Meta sind wir mit Meta Platforms Ireland Ltd. gemeinsam verantwortlich (Art. 26 DSGVO); die weitere Verarbeitung bei Meta liegt in dessen alleiniger Verantwortung. Die Vereinbarung zur gemeinsamen Verantwortlichkeit ist Metas „Controller Addendum“; Ihre Rechte können Sie auch direkt gegenüber Meta geltend machen.

7. Registrierung und Konto

Um Slotora zu nutzen, legen Sie ein Konto an. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag über die Nutzung von Slotora). Ohne Name, E-Mail-Adresse und Passwort können wir kein Konto anlegen; alle weiteren Angaben sind freiwillig, soweit sie nicht für eine Funktion nötig sind, die Sie nutzen wollen.

• Kontodaten: Name, E-Mail-Adresse, Passwort (nur als bcrypt-Prüfwert gespeichert, nie im Klartext), Rolle im Team (Inhaberin, Admin, Mitarbeiterin), Sprache. Wir schicken Ihnen einen Link, um Ihre E-Mail-Adresse zu bestätigen (gültig 24 Stunden); ein Link zum Zurücksetzen des Passworts gilt eine Stunde.
• Sicheres Passwort: Wenn Sie ein Passwort wählen, prüfen wir, ob es in bekannten Datenlecks vorkommt. Dazu übermitteln wir an den Dienst „Have I Been Pwned“ nur die ersten fünf Zeichen eines SHA-1-Prüfwerts Ihres Passworts; weder das Passwort noch Ihre E-Mail-Adresse verlassen unseren Server.
• Unternehmensdaten: Name des Salons und eingetragene Firma, Adresse, Umsatzsteuer- oder Steuernummer und das Ergebnis unserer Prüfung dieser Nummer, Leistungen, Preise, Öffnungszeiten, Bilder, Impressumsangaben, Telefonnummer. Was Sie auf Ihrer Buchungsseite veröffentlichen, ist öffentlich sichtbar.
• Herkunft der Registrierung: über welche Kampagne, welchen Link oder welche Seite Sie zu uns gekommen sind (Quelle, Medium, Einstiegsseite), soweit Ihr Browser diese Angaben mit dem Registrierungsformular übermittelt, und — nur wenn Sie zugestimmt haben — Ihre Antwort zur Werbemessung mit den dazugehörigen Kennungen (siehe Abschnitt 6). Fragen wir Sie später einmal, wie Sie von uns erfahren haben, ist die Antwort freiwillig. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Interesse: zu wissen, welche unserer Wege zu Registrierungen führen).
• Teammitglieder: Laden Sie Kolleginnen oder Kollegen ein, erhalten wir deren Namen und E-Mail-Adresse von Ihnen (Art. 14 DSGVO) und schicken ihnen die Einladung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und f DSGVO.
• Protokolle für Nachvollziehbarkeit: Änderungen an Terminen, Kundendaten, Leistungen und Einstellungen protokollieren wir mit Name, Rolle, E-Mail-Adresse und IP-Adresse der handelnden Person (Art. 6 Abs. 1 lit. f DSGVO; Interesse: Nachvollziehbarkeit und Schutz vor Manipulation). Zugriffe unserer eigenen Mitarbeiter auf ein Salonkonto, etwa im Support, protokollieren wir ebenfalls.

8. Käufe bei Slotora

Slotora ist kostenlos. Kaufen Sie Guthaben (Credits) für SMS, KI-Funktionen oder Telefonminuten, wickelt Stripe die Zahlung im Web ab; Ihre Kartendaten erhält nur Stripe. In der App kaufen Sie über Apple oder Google; dort ist der App-Store der Verkäufer, und wir erhalten nur die Bestätigung des Kaufs. Wir speichern Betrag, Zeitpunkt, Land, die angewandte steuerliche Behandlung und, bei Kauf durch ein Unternehmen in der EU ohne Umsatzsteuer (Umkehr der Steuerschuld), Ihre Umsatzsteuer-Identifikationsnummer und die Firma auf der Rechnung als Nachweis. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (Vertrag) und Art. 6 Abs. 1 lit. c DSGVO (steuerliche Aufzeichnungspflichten nach britischem Recht).

8a. Meldepflichten für Plattformbetreiber (DAC7 / britisches Digital Platform Reporting)

Steuerliche Vorschriften für digitale Plattformen – in der Europäischen Union die Richtlinie (EU) 2021/514 (DAC7), im Vereinigten Königreich die Platform Operators (Due Diligence and Reporting Requirements) Regulations 2023 – verpflichten den Betreiber einer Plattform, über die Dienstleistungen gebucht werden, die anbietenden Unternehmen zu identifizieren und einer Steuerbehörde jährlich bestimmte Angaben über sie zu melden. Weil Kundinnen und Kunden die Leistungen der Salons über Slotora buchen und Slotora den gebuchten Preis kennt, gelten diese Vorschriften seit 2026 für Slotora. Das betrifft nur das Unternehmen als Anbieter: ein Steuerprofil je Unternehmen, nicht je Teammitglied, und keine Daten Ihrer Kundinnen und Kunden.

• Was wir erheben: die Rechtsform (Einzelunternehmen, Kapitalgesellschaft, Personengesellschaft oder sonstige), den Namen bzw. die Firma, die Hauptanschrift (bei Einzelunternehmen die Wohnanschrift), den Staat der steuerlichen Ansässigkeit, die Steueridentifikationsnummer mit dem ausstellenden Staat, bei natürlichen Personen das Geburtsdatum, bei Gesellschaften die Registernummer und, nur falls vorhanden, die Umsatzsteuer-Identifikationsnummer. Angaben, die wir bereits haben, tragen wir vor; Sie bestätigen oder berichtigen sie.
• Was wir selbst ermitteln: je Quartal den Gesamtbetrag, der dem Unternehmen für über Slotora gebuchte Leistungen gezahlt oder gutgeschrieben wurde, soweit Slotora ihn kennt, die Zahl dieser Leistungen, von Slotora einbehaltene oder berechnete Gebühren, Provisionen oder Steuern (Slotora erhält keinen Anteil am Preis) und, soweit vorhanden, die Kennung des Kontos, auf das gezahlt wurde.
• Zweck und Rechtsgrundlage: die vorgeschriebene Überprüfung der Anbieter und die vorgeschriebene Meldung; Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung). Für ein Unternehmen, für das die Vorschriften gelten, ist die Angabe gesetzlich vorgeschrieben. Fehlen die Angaben trotz unserer Erinnerungen, müssen wir, soweit das Gesetz es vorsieht, Funktionen des Kontos einschränken, bis sie vorliegen; wir kündigen das vorher an.
• Empfänger: für Unternehmen mit Ansässigkeit in Deutschland, Österreich, im Vereinigten Königreich, in Polen oder Irland HM Revenue & Customs (HMRC), die britische Steuerbehörde; im automatischen Informationsaustausch erhält sie die Steuerbehörde des Ansässigkeitsstaats, in Deutschland das Bundeszentralamt für Steuern. Für Unternehmen mit Ansässigkeit in Ungarn oder Rumänien die ungarische Steuerverwaltung (Nemzeti Adó- és Vámhivatal, NAV), bei der sich Slotora als Plattformbetreiber mit Sitz außerhalb der Union nach DAC7 registriert. Sonst niemand: keine Verwendung für Werbung, keine Weitergabe an ein KI-Modell, keine Anzeige im Support-Chat.
• Schutz: Steueridentifikationsnummer und Geburtsdatum werden verschlüsselt gespeichert, nur maskiert angezeigt (z. B. ****1234), außer für die zur Meldung berechtigten Mitarbeiterinnen und Mitarbeiter, und jeder Zugriff und jede Änderung wird protokolliert.
• Speicherdauer: so lange, wie die Aufzeichnungspflichten von NAV und HMRC es verlangen – nach britischem Recht fünf Jahre nach Ablauf des Meldezeitraums, auf den sich die Angaben beziehen –, mindestens aber, solange das Konto besteht. Nach der Löschung des Kontos wird das Steuerprofil des Unternehmens fünf Jahre nach Ablauf des letzten Meldezeitraums gelöscht, auf den es sich bezieht, oder – wenn kein Zeitraum gemeldet wurde – fünf Jahre nach der Löschung des Kontos. Eine abgegebene Meldung bleibt so erhalten, wie sie abgegeben wurde; eine Berichtigung wird als neue Meldung abgegeben.
• Ihre Kopie: Für jedes Jahr, für das wir Angaben über ein Unternehmen melden, erhält es bis zum 31. Januar des Folgejahres eine Kopie der gemeldeten Angaben. Die Meldung allein bedeutet nicht, dass zusätzliche Steuern anfallen.

8b. Der Shop

Der Shop in Ihrer Verwaltung und in der App zeigt Produkte und Angebote von Partnershops; gekauft wird beim Partner, auf dessen eigener Website. Um den Shop zu betreiben und zu sehen, ob er nützt, erfassen wir, was darin geschieht – selbst, als Slotora, über unsere eigenen Nutzerinnen und Nutzer. Wir setzen dafür keine Tracking-Dienste Dritter ein und speichern dafür nichts auf Ihrem Gerät.

• Was wir erfassen: das Öffnen des Shops, einer Kategorie, eines Produkts oder der Seite eines Partners; eine Suche mit dem eingegebenen Text und der Zahl der gefundenen Produkte; welche Produktkarten auf dem Bildschirm erschienen; die Anzeige des Bereichs mit exklusiven Rabatten oder der Finanzseite; das Kopieren eines Rabattcodes (wir vermerken den Partner, nie den Code); das Antippen einer Schaltfläche, die zu einem Partner führt; und das Anzeigen, Schließen oder Antippen des Hinweises zur Eröffnung des Shops.
• Dazu: Ihr Unternehmen mit Land und Branche, die Rolle des angemeldeten Zugangs (Inhaberin bzw. Inhaber, Administration, Leitung, Team), ob es auf der Website oder in der App geschah, bei der App deren Version und ob iOS oder Android, sowie ein pseudonymer Schlüssel des Zugangs – ein mit einem nur Slotora bekannten Geheimnis gebildeter Hashwert. Er ist nie Ihre Konto-ID, Ihr Name oder Ihre E-Mail-Adresse und erlaubt uns zu zählen, wie viele Personen und nicht nur wie viele Unternehmen den Shop nutzen.
• Die öffentlichen Shop-Seiten: Liest sie jemand ohne Anmeldung, erfassen wir dieselben Vorgänge ohne Unternehmen, ohne Schlüssel und ohne Angaben zu Gerät oder Verbindung; Suchmaschinen-Crawler und Link-Vorschauen werden gar nicht erfasst. Sind Sie angemeldet, wird erfasst wie oben beschrieben.
• Wechsel zu einem Partner: Ein Link zu einem Partner führt zuerst über einen eigenen Link von Slotora, der den Klick wie oben beschrieben mit dem betreffenden Produkt erfasst. Das Affiliate-Netzwerk des Partners erhält eine Referenz auf diesen Klick, damit es uns sagen kann, aus welchem Klick ein Kauf hervorging – nie Ihren Namen, Ihre E-Mail-Adresse oder Ihre Konto-ID. Danach befinden Sie sich auf der Website des Partners: Dort gelten dessen eigene Datenschutzerklärung und Cookie-Regeln, und der Partner oder sein Affiliate-Netzwerk kann Ihren Besuch und Ihren Kauf erfassen, um ihn Slotora zuzuordnen.
• Zweck: den Shop zu betreiben und zu verbessern – welche Kategorien geöffnet werden, was gesucht und nicht gefunden wird, welche Partner nützlich sind – und die Provisionsabrechnungen der Partnernetzwerke mit den Klicks abzugleichen, auf denen sie beruhen. Wir verkaufen diese Daten nicht, nutzen sie nicht für Werbung und teilen Partnern nicht mit, was Sie angesehen haben.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der Betrieb und die Verbesserung des Shops und die Abrechnung der Provisionen mit den Partnern. Es überwiegt Ihre Interessen nicht: Es geht um die Nutzung eines Arbeitswerkzeugs durch Ihr Unternehmen in Ihrer eigenen Verwaltung, die Person ist nur durch einen pseudonymen Schlüssel vertreten, und nichts gelangt an Tracking-Dienste Dritter.
• Speicherdauer: Vorgänge im Shop 400 Tage (etwa dreizehn Monate, damit ein Monat mit demselben Monat des Vorjahres verglichen werden kann), Klicks zu Partnern 24 Monate, weil Provisionen erst Monate nach dem Kauf bestätigt oder storniert werden; danach löscht sie unser täglicher Bereinigungslauf. Wird Ihr Konto gelöscht, verlieren diese Daten den Bezug zu Ihrem Unternehmen, und der Schlüssel lässt sich niemandem mehr zuordnen.
• Widerspruch: Sie können dieser Verarbeitung jederzeit widersprechen (Abschnitt 19), mit einer E-Mail an hello@slotora.io. Wir löschen dann die mit Ihrem Unternehmen und Ihrem Schlüssel verbundenen Shop-Daten, es sei denn, ein Klick wird für die Abrechnung einer noch offenen Provision benötigt. Solange Sie den Shop nicht öffnen, erfassen wir darin nichts über Sie.

9. E-Mails, die wir Ihnen als Salon schicken

• Dienst-E-Mails: Bestätigungen, Hinweise zu Ihrem Konto, Rechnungen und Belege, Sicherheitshinweise, Hinweise zu Ihrem Guthaben und wesentliche Änderungen unserer Bedingungen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; diese E-Mails erhalten Sie, solange Sie ein Konto haben.
• Neuigkeiten und Angebote zu Slotora: Haben Sie bei der Registrierung eingewilligt und Ihre E-Mail-Adresse bestätigt, informieren wir Sie per E-Mail über neue Funktionen und Angebote von Slotora sowie über den Slotora Shop mit Produkten unserer Partner. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO; § 7 Abs. 2 Nr. 2 UWG; in Österreich § 174 Abs. 3 TKG 2021). Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen – über den Abmeldelink in jeder solchen E-Mail oder mit einer Nachricht an uns. Ohne Einwilligung oder nach einem Widerruf erhalten Sie nur Dienst-E-Mails.
• Ob eine E-Mail zugestellt, abgewiesen oder als Spam gemeldet wurde, erfahren wir von unserem E-Mail-Dienst Resend und vermerken es an Ihrem Konto, damit wir nicht weiter an eine Adresse schreiben, die nichts empfängt (Art. 6 Abs. 1 lit. f DSGVO). Jede E-Mail, die wir versenden, enthält ein eingebettetes Bild unseres E-Mail-Dienstes, über das Resend erfährt, ob und wann sie mit angezeigten Bildern geöffnet wurde. Wir werten das nur für unsere eigenen Hinweis- und Werbe-E-Mails an Salons je E-Mail-Art aus, um zu sehen, welche unserer E-Mails gelesen werden; bei E-Mails, die Kundinnen und Kunden im Auftrag ihres Salons von uns erhalten, verwerfen wir es. Laden Sie Bilder in Ihrem E-Mail-Programm nicht automatisch, entfällt das. Der Button in unseren Hinweis-E-Mails an Salons führt über einen Link von uns, der festhält, dass und von wem er gedrückt wurde, bevor er Sie an das Ziel weiterleitet; andere Links in unseren E-Mails verfolgen wir nicht.

10. Die Slotora-App

Die App für iOS und Android zeigt dieselbe Verwaltung wie die Website. Sie fragt nach Zugriff auf Kamera und Fotos nur, wenn Sie selbst ein Bild anhängen; nichts wird im Hintergrund aufgenommen, und Ihre Fotomediathek wird nie durchsucht. Die App selbst enthält keine Werbekennungen und kein Analyse-SDK. Weil sie die Verwaltung der Website zeigt, erscheint die Cookie-Leiste auch in der App, und Ihre Antwort gilt dort genauso: Mit „Nur Statistik“ oder „Alles akzeptieren“ läuft Google Analytics in der Verwaltung in der App wie im Browser, und mit „Alles akzeptieren“ meldet unser Server Ihre Registrierung und das Anlegen Ihres Salons auch an Meta und Google (Abschnitt 6). Lehnen Sie ab, läuft nichts davon. Erlauben Sie Benachrichtigungen, speichern wir eine Push-Kennung Ihres Geräts mit Plattform und Sprache, um Ihnen Benachrichtigungen über Google Firebase zu senden; sie wird gelöscht, wenn Sie sich abmelden, die App deinstallieren oder Ihr Konto löschen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; die Erlaubnis für Benachrichtigungen ist freiwillig, und ihre Ablehnung ändert sonst nichts in der App.

11. Kalender verbinden

Jedes Teammitglied kann den eigenen Kalender verbinden — Google Kalender, iCloud-Kalender oder einen anderen CalDAV-Kalender. Das ist freiwillig, geschieht für jede Person einzeln, und niemand kann den Kalender eines anderen verbinden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Das Kalenderkonto gehört Ihnen und unterliegt Ihrem eigenen Vertrag mit dem Anbieter.

• Google Kalender: Wir fragen nur die Zeiten ab, in denen Sie belegt sind (Berechtigung „calendar.freebusy“), legen in Ihrem Konto einen eigenen Slotora-Kalender an und tragen dort Ihre Termine ein („calendar.app.created“) und zeigen Ihnen, welches Google-Konto verbunden ist („openid“, „userinfo.email“). Ohne Ihre ausdrückliche Erlaubnis erhalten wir Titel, Beschreibungen, Orte und Gäste Ihrer eigenen Termine nie. Nur wenn Sie es in den Kalendereinstellungen wählen und auf dem Zustimmungsbildschirm von Google erlauben („calendar.events.readonly“), zeigt Slotora Ihre Termine in Ihrem eigenen Slotora-Kalender mit ihrem Namen — „Zahnarzt“ — statt nur als belegte Zeit. Dafür lesen wir für jeden Termin in Ihrem Google-Hauptkalender, von jetzt an so weit im Voraus, wie in Ihrem Betrieb gebucht werden kann (mindestens 60 Tage), genau diese Felder: den Namen (Titel); Beginn und Ende und ob er ganztägig ist; ob er abgesagt wurde; ob er Sie als belegt oder frei zeigt; und bei einer Einladung den Antwortstatus der Gäste ohne deren Namen und Adressen, damit wir erkennen, ob Sie selbst abgelehnt haben. Beschreibung, Ort, Namen und E-Mail-Adressen der Gäste, Anhänge und Videokonferenz-Links fragen wir bei Google nicht ab, und sie erreichen uns nie; wir lesen keinen anderen Kalender als Ihren Hauptkalender und können keinen Ihrer Termine ändern. Den Namen sehen nur Personen in Ihrem Betrieb, die Ihren Kalender in Slotora sehen dürfen — Sie selbst und die Inhaberin oder Leitung, die den Kalender des ganzen Teams sieht; er erscheint nie auf Ihrer Buchungsseite, bei Kundinnen und Kunden oder in Nachrichten, Benachrichtigungen, Erinnerungen oder Berichten und wird nie in unsere Protokolle geschrieben. Unsere Nutzung von Daten aus Google-Schnittstellen entspricht der Google API Services User Data Policy einschließlich der Anforderungen an die eingeschränkte Nutzung („Limited Use“).
• iCloud und andere CalDAV-Kalender: Sie verbinden den Kalender mit einem App-spezifischen Passwort, das Sie für Slotora anlegen. Diese Server senden uns die Termine selbst, auch mit Titeln; wir berechnen daraus im Arbeitsspeicher, wann Sie belegt sind, und speichern nur Beginn und Ende jedes belegten Zeitraums.
• Gespeichert werden nur die Verbindung (Kontoadresse, Kalenderkennungen sowie Zugangsschlüssel oder App-Passwort, mit AES-256-GCM verschlüsselt, bevor sie unsere Datenbank erreichen) und die belegten Zeiträume, beides nur so lange, wie die Verbindung besteht. Haben Sie Terminnamen erlaubt, trägt ein belegter Zeitraum bei Google zusätzlich den Namen des Termins, auf 80 Zeichen gekürzt, und die Google-Kennung des Termins; den Namen speichern wir nur, solange der Termin bevorsteht oder läuft, und löschen ihn spätestens etwa fünfzehn Minuten nach seinem Ende — der Zeitraum selbst bleibt. Widerrufen Sie den Zugang in Ihrem Google-Konto, löschen wir alle Terminnamen sofort; die belegten Zeiten bleiben, bis Sie die Verbindung in Slotora trennen, damit Zeiten, in denen Sie nicht verfügbar sind, nicht plötzlich Kundinnen und Kunden angeboten werden. Trennen Sie sie, löschen wir sofort Schlüssel, Verbindung und alle belegten Zeiträume samt Namen und widerrufen den Zugang bei Google.
• Diese Daten verkaufen wir nicht, nutzen sie nicht für Werbung, geben sie keiner KI-Funktion und keinem KI-Training und schauen sie nicht an, außer Sie bitten uns um eine Fehlerbehebung, die Sicherheit verlangt es oder das Gesetz schreibt es vor. Die belegten Zeiträume selbst und die Namen Ihrer Termine erreichen nie eine KI, auch nicht Nita oder die KI-Telefonrezeption. Drei Funktionen erhalten Ihre freien Termine — der Gäste-Chat Ihrer Buchungsseite, die KI-Telefonrezeption und das Plakat mit freien Terminen —; das sind dieselben freien Termine, die Ihre Buchungsseite jedem zeigt, und deshalb fehlen darin die Zeiten, in denen Ihr Kalender Sie als belegt zeigt.

12. KI-Funktionen und die Assistentin Nita

• Slotora bietet freiwillige KI-Funktionen; das Modell dahinter ist Gemini von Google. Es erhält: was Sie oder Ihr Team für eine Funktion eingeben oder fotografieren, die Sie selbst starten — Texte für Beiträge und Kampagnen, die Beschreibung Ihrer Buchungsseite, Fragen an die Assistentin Nita (mit Namen, Leistungen und Preisen Ihres Salons), Plakate (mit einem Foto von Ihnen, wenn Sie eines hinzufügen; das Plakat mit freien Terminen auch mit Ihren freien Terminen), das Foto Ihrer Hausregeln oder die fotografierte Seite Ihres Terminbuchs aus Papier, auf der Namen, Telefonnummern und Behandlungen Ihrer Kundinnen und Kunden stehen (das Foto wird gelesen und nicht gespeichert); Ihre gesprochenen Antworten bei der Einrichtung per Sprache: Google (Gemini) schreibt die Aufnahme als unser Auftragsverarbeiter auf, wir löschen die Aufnahme unmittelbar danach und speichern sie nirgends, und den Text verwenden wir nur für Ihre Einrichtung; einen Übersetzungsentwurf der eigenen Texte Ihrer Buchungsseite; die Fragen, die Gäste in den Gäste-Chat Ihrer Buchungsseite schreiben, solange Sie ihn eingeschaltet haben, zusammen mit Ihren Leistungen, Preisen, Öffnungszeiten, Ihrer Adresse und Ihren freien Terminen; eine Beschreibung einer Buchungsseite, die wir selbst, ohne Auftrag, aus dem entwerfen, was die Seite ohnehin öffentlich zeigt — Name, Branche, Ort, Leistungen und Preise; den Kommentar, den jemand öffentlich in einer Facebook-Gruppe geschrieben hat, wenn wir dieser Person über Slotora schreiben; und, automatisch, den Namen eines Lieferanten, bei dem Salons nach eigener Angabe einkaufen, damit das Modell dessen Website findet. Die in Slotora gespeicherten Kundendaten — Namen, Kontaktdaten, Notizen, Allergien und Formularangaben — erhält das Modell nie. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die Funktionen, die Sie starten, und Art. 6 Abs. 1 lit. f DSGVO für die Aufgaben, die wir selbst ausführen (Interesse: auffindbare Buchungsseiten, Ansprache von Fachkräften, die Slotora noch nicht kennen, und ein Überblick über Bezugsquellen). Google verwendet die Daten nicht zum Training seiner Modelle. Im Gäste-Chat ist erkennbar, dass eine KI-Assistentin antwortet.
• Fragen an Nita: Stellen Sie oder Ihr Team Nita eine Frage, speichern wir Frage und angezeigte Antwort — mit der Angabe, wie die Antwort entstand, aus welchem Teil der App die Frage kam und wie lange sie dauerte — 365 Tage lang, um Nitas Antworten zu verbessern und Ihnen zu helfen, wenn Sie sich an den Support wenden. Stammt die Antwort aus Ihrem Kalender, entfernen wir Namen von Kundinnen und Kunden sowie E-Mail-Adressen und Telefonnummern, bevor wir sie speichern. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Interesse: eine Assistentin, die richtig antwortet). Die Daten werden mit Ihrem Konto gelöscht und sind in Ihrem Datenexport enthalten.

13. Gästebereich „Meine Termine“

Kundinnen und Kunden von Salons können sich mit einem Link, den wir an ihre E-Mail-Adresse schicken, im Gästebereich anmelden und dort ihre Termine bei allen Salons sehen, die Slotora nutzen, Termine verwalten, von einer Buchung zurücktreten, soweit ein Widerrufsrecht besteht, und ihre Daten herunterladen. Für die Anmeldung — E-Mail-Adresse, einmal verwendbarer Anmeldelink, das Cookie „slotora_guest“ für 30 Tage — sind wir verantwortlich; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Für die Termindaten, die Sie dort sehen, bleibt der jeweilige Salon verantwortlich (Abschnitt 4).

14. Modellsuche

Fachkräfte und Ausbildungsstätten können auf Slotora Modelle für Übungs-, Portfolio- oder Prüfungstermine suchen. Wer sich als Modell bewirbt, legt ein Konto an: Name, E-Mail-Adresse, Ort, Postleitzahlbereich, Land und, wenn Sie möchten, Telefonnummer und Passwort; die Anmeldung geht auch über einen Link per E-Mail. Ihre Bewerbung — Antworten, Fotos und Nachricht — übermitteln wir an die Fachkraft, die das Gesuch veröffentlicht hat; diese verwendet sie in eigener Verantwortung. Ob und wofür Fotos von Ihnen verwendet werden dürfen, entscheiden Sie mit einer gesonderten Einwilligung. Rechtsgrundlage für Konto und Vermittlung ist Art. 6 Abs. 1 lit. b DSGVO, für Fotos Art. 6 Abs. 1 lit. a DSGVO. Die Löschung Ihres Kontos können Sie jederzeit verlangen.

15. Empfänger und Auftragsverarbeiter

Wir verkaufen keine personenbezogenen Daten und geben sie nicht für fremde Werbung weiter. Wir setzen die folgenden Dienstleister als Auftragsverarbeiter ein; jeder verarbeitet Daten nur in unserem Auftrag, nach unseren Weisungen und auf Grundlage eines Vertrags nach Art. 28 DSGVO — in den meisten Fällen der Standardbedingungen des Anbieters:

• Neon — Hosting der Datenbank. Daten: alle im Dienst gespeicherten Daten. Ort: Vereinigtes Königreich (London, Rechenzentrum von Amazon Web Services, Region eu-west-2); Anbieter mit Sitz in den USA. Einsatz: immer.
• Netlify — Hosting der Anwendung, Auslieferung über ein Content-Delivery-Netz, Speicherung hochgeladener Bilder, zeitgesteuerte Hintergrundaufgaben. Daten: alle Daten während der Übertragung; hochgeladene Bilder; technische Protokolle. Ort: weltweites Servernetz; Anbieter mit Sitz in den USA. Einsatz: immer.
• Resend — Versand von E-Mails (Terminbestätigungen, Erinnerungen, Konto-E-Mails, unsere Hinweise an Salons). Daten: Name und E-Mail-Adresse der Empfänger, Inhalt der Nachricht; ob und wann eine Nachricht zugestellt, abgewiesen oder geöffnet wurde (die Öffnungsmessung ist für unsere Absenderdomain eingeschaltet; Öffnungen von Nachrichten an Kundinnen und Kunden eines Salons verwerfen wir). Ort: Anbieter mit Sitz in den USA. Einsatz: immer.
• BulkGate — Versand von SMS. Daten: Name und Telefonnummer der Empfänger, Inhalt der Nachricht. Ort: Anbieter mit Sitz in der Europäischen Union. Einsatz: nur, wenn der Salon den SMS-Versand einschaltet.
• Twilio — Rufnummer, auf die Kundinnen und Kunden per SMS antworten können; Ausweichweg, wenn eine SMS nicht über BulkGate versendet werden kann; Telefonnummer und Telefonleitung der KI-Telefonrezeption in Großbritannien. Daten: Telefonnummern, Inhalt von Nachrichten, Verbindungsdaten von Anrufen. Ort: Anbieter mit Sitz in den USA. Einsatz: nur, wenn der Salon SMS oder die KI-Telefonrezeption einschaltet.
• Retell AI — KI-Telefonrezeption: nimmt Anrufe im Namen des Salons entgegen. Daten: Stimme und Telefonnummer der Anrufenden in Echtzeit; zurück an uns geht nur eine schriftliche Zusammenfassung des Gesprächs, eine Aufzeichnung wird nicht gespeichert. Ort: Anbieter mit Sitz in den USA. Einsatz: nur, wenn der Salon die KI-Telefonrezeption einschaltet.
• Zadarma — Rufnummer der KI-Telefonrezeption in Deutschland, Österreich, Ungarn, Rumänien, Polen und Irland. Daten: Registrierungsnachweis des Salons und, je nach Land, ein Adressnachweis (in Deutschland eine Rechnung) oder ein Foto der Inhaberin mit ihrem Ausweis (in Österreich) — die Nummer läuft auf den Salon; Telefonnummer und Stimme der Anrufenden während des Anrufs. Ort: europäischer Anbieter. Einsatz: nur, wenn ein Salon in einem dieser Länder die KI-Telefonrezeption einschaltet.
• Cloudflare — Turnstile, die Prüfung auf automatisierte Zugriffe (Bots) bei Anmeldung, Registrierung, im Gäste-Chat der Buchungsseite und bei einigen öffentlichen Formularen. Daten: IP-Adresse und technische Merkmale des Browsers; nie der Inhalt des Formulars. Ort: weltweites Servernetz; Anbieter mit Sitz in den USA. Einsatz: immer (im Gäste-Chat nur, solange der Salon ihn eingeschaltet hat).
• Google Firebase — Push-Benachrichtigungen der Slotora-App. Daten: Push-Kennung des Geräts, Plattform und Sprache des Geräts, Inhalt der Benachrichtigung. Ort: Anbieter mit Sitz in den USA. Einsatz: nur, wenn ein Teammitglied Benachrichtigungen in der App erlaubt.
• Google (Gemini) — KI-Funktionen, die der Salon selbst startet, der Gäste-Chat auf der Buchungsseite und einige Aufgaben, die Slotora selbst ausführt (Entwurf von Beschreibungen für Buchungsseiten, Suche nach Websites von Lieferanten). Daten: was der Salon für eine Funktion eingibt oder fotografiert — auch die fotografierte Seite eines Terminbuchs aus Papier mit den Namen, Telefonnummern und Behandlungen der Kundinnen und Kunden (das Foto wird nicht gespeichert); die Fragen, die Gäste in den Gäste-Chat schreiben, mit Leistungen, Preisen, Öffnungszeiten, Adresse und freien Terminen des Salons; nie die in Slotora gespeicherten Kundendaten (Namen, Kontaktdaten, Notizen, Gesundheitsangaben, Formularangaben); keine Verwendung zum Training von KI-Modellen. Ort: Anbieter mit Sitz in den USA. Einsatz: wenn der Salon eine KI-Funktion nutzt, solange der Gäste-Chat eingeschaltet ist, und bei den genannten Aufgaben von Slotora.
• Stripe — Zahlungsabwicklung: Anzahlungen, Vorauszahlungen und Ausfallgebühren der Gäste des Salons; Käufe des Salons bei Slotora. Daten: Kartendaten (nur bei Stripe, nie bei Slotora), Name und E-Mail-Adresse der zahlenden Person, Beträge. Ort: Anbieter mit Sitz in den USA und in der Europäischen Union. Einsatz: wenn der Salon Kartenzahlungen über Slotora annimmt, und gesondert, wenn er bei Slotora etwas kauft.
• Mollie — Zahlungsabwicklung für Salons, die Mollie wählen: Anzahlungen und Vorauszahlungen der Gäste des Salons. Daten: Karten- und andere Zahlungsmitteldaten (nur bei Mollie, nie bei Slotora), Name und E-Mail-Adresse der zahlenden Person, Beträge. Ort: Anbieter mit Sitz in der Europäischen Union (Mollie B.V., Keizersgracht 121, 1015 CJ Amsterdam, Niederlande; niederländische Handelskammer Nr. 30204462; ein von De Nederlandsche Bank zugelassenes und beaufsichtigtes E-Geld-Institut); keine Übermittlung in Drittländer. Einsatz: nur, wenn der Salon sein eigenes Mollie-Konto verbindet und darüber Zahlungen über Slotora annimmt.

Weitere Empfänger: Google und Meta im Rahmen Ihrer Einwilligung nach Abschnitt 6; Apple und Google als App-Stores beim Kauf in der App; OpenStreetMap für die Karte (Abschnitt 5). Folgende Dienste beauftragt nicht Slotora, sondern der Salon bzw. das Teammitglied selbst, mit eigenem Konto und eigenem Vertrag; sie erhalten nichts, bevor sie verbunden werden:

• Meta (Facebook, Instagram und WhatsApp) — eine WhatsApp-Erinnerung enthält Name und Telefonnummer der Kundin oder des Kunden
• ein Rechnungsprogramm (Számlázz.hu, Billingo, Xero oder QuickBooks) — eine Rechnung enthält Name und Rechnungsanschrift
• Google Kalender, iCloud-Kalender oder ein anderer CalDAV-Kalender und Microsoft 365 (Outlook) — nur, wenn ein Teammitglied ihren eigenen Kalender verbindet; Slotora trägt dort die Termine ein (Name der Kundin oder des Kunden und gebuchte Leistung, nie die Telefonnummer)

Behörden geben wir Daten nur heraus, wenn wir dazu rechtlich verpflichtet sind. Wir prüfen jede Anfrage auf ihre Rechtmäßigkeit, wehren unrechtmäßige oder zu weit gehende Anfragen ab, geben nur das Nötigste heraus, dokumentieren jeden Vorgang und informieren den betroffenen Salon, soweit das Gesetz es nicht verbietet.

16. Übermittlung in Drittländer

Wir haben unseren Sitz im Vereinigten Königreich, und unsere Datenbank liegt in London. Für das Vereinigte Königreich hat die Europäische Kommission festgestellt, dass es ein angemessenes Datenschutzniveau bietet (Art. 45 DSGVO). Mehrere der genannten Dienstleister haben ihren Sitz in den USA oder verarbeiten Daten dort. Diese Übermittlungen stützen sich auf die Zertifizierung des Anbieters nach dem EU-US Data Privacy Framework (Angemessenheitsbeschluss der Kommission vom 10. Juli 2023) oder, wo diese fehlt, auf die Standardvertragsklauseln der Kommission (Art. 46 Abs. 2 lit. c DSGVO) in den Bedingungen des Anbieters. Eine Kopie der jeweiligen Garantien erhalten Sie auf Anfrage.

17. Wie lange wir Daten speichern

• Konto- und Unternehmensdaten: solange Ihr Konto besteht. Löschen Sie Ihr Konto in den Einstellungen, wird es sofort und endgültig gelöscht. Bitten Sie uns per E-Mail um die Löschung, sperren wir das Konto sofort und löschen es nach 30 Tagen; in dieser Zeit können Sie die Löschung zurücknehmen.
• Nach der Löschung behalten wir einen Löschvermerk: den Namen des Salons und die Adresse seiner Buchungsseite, Land, Erstellungsdatum, einen gekürzten Prüfwert der Anmelde-E-Mail-Adresse (genug, um zu bestätigen, dass es Ihr Konto war, zu wenig, um die Adresse wiederherzustellen), die Anzahl der Datensätze und Zahlungssummen ohne einzelne Posten oder Namen. Er dient dem Nachweis der ordnungsgemäßen Löschung und unseren steuerlichen Pflichten.
• Aufzeichnungen über Ihre Käufe bei uns: sechs Jahre ab Ende des Geschäftsjahres, wie es das britische Steuerrecht verlangt; Ihre Identität entfernen wir daraus überall, wo sie nicht gebraucht wird.
• Angaben für die Meldepflichten der Plattformbetreiber: wie in Abschnitt 8a beschrieben.
• Shop: Vorgänge im Shop 400 Tage, Klicks zu Partnern 24 Monate, wie in Abschnitt 8b beschrieben.
• Fragen an Nita: 365 Tage. Anonyme Besuchszählung, verbrauchte Anmeldelinks, Protokolle unserer Hintergrundaufgaben und Zähler zur Begrenzung von Anmeldeversuchen: frühestens nach 90 Tagen, im täglichen Bereinigungslauf.
• Kreuzen Sie beim Löschen Ihres Kontos an, dass wir Sie informieren sollen, wenn ein gemeldetes Problem behoben ist, behalten wir Ihre E-Mail-Adresse nur dafür und löschen sie spätestens 30 Tage nach dieser einen Nachricht, in jedem Fall spätestens 12 Monate nach dem Ankreuzen.
• Sicherungskopien: Gelöschte Daten können bis zum Ablauf des Sicherungszeitraums unseres Datenbank-Anbieters in verschlüsselten Sicherungen verbleiben; sie werden nicht wiederhergestellt, um gelöschte Daten zurückzuholen.

18. Ihre Rechte

• Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Ihre Daten können Sie in der Verwaltung jederzeit kostenlos als CSV- oder JSON-Datei herunterladen.
• Widerruf einer Einwilligung jederzeit mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO); die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt.
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des mutmaßlichen Verstoßes — in Deutschland bei der Datenschutzaufsichtsbehörde Ihres Bundeslandes, in Österreich bei der Datenschutzbehörde (Barichgasse 40–42, 1030 Wien, dsb.gv.at). Für das Vereinigte Königreich ist das Information Commissioner’s Office zuständig (ico.org.uk).
• Für die Ausübung Ihrer Rechte genügt eine E-Mail an hello@slotora.io. Wir antworten innerhalb eines Monats (Art. 12 Abs. 3 DSGVO) und können Sie bitten, Ihre Identität nachzuweisen, wenn wir begründete Zweifel daran haben.

19. Ihr Widerspruchsrecht (Art. 21 DSGVO)

Soweit wir Daten auf Grundlage berechtigter Interessen verarbeiten (Art. 6 Abs. 1 lit. f DSGVO), haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch einzulegen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Der Verwendung Ihrer Daten für Direktwerbung können Sie jederzeit ohne Angabe von Gründen widersprechen; wir verwenden sie dann nicht mehr für diesen Zweck. Ein formloser Widerspruch an hello@slotora.io oder der Abmeldelink in jeder Werbe-E-Mail genügt.

20. Keine automatisierten Entscheidungen

Wir treffen keine Entscheidungen, die ausschließlich auf einer automatisierten Verarbeitung beruhen und Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen (Art. 22 DSGVO).

21. Kinder

Slotora richtet sich an Unternehmen und ist nicht für Personen unter 16 Jahren bestimmt. Wir erheben wissentlich keine Daten von Kindern.

22. Sicherheit

Wir schützen Ihre Daten mit verschlüsselter Übertragung (HTTPS mit HSTS), Passwörtern nur als Prüfwerte, zusätzlicher Verschlüsselung von Zugangsschlüsseln fremder Dienste (AES-256-GCM), Rollen mit nur den nötigen Rechten, einer strikten Trennung der Daten jedes Salons, die wir mit automatisierten Angriffstests prüfen, und Protokollen, die sich nachträglich nicht ändern lassen. Die technischen und organisatorischen Maßnahmen im Einzelnen stehen in Anlage 2 unseres Auftragsverarbeitungsvertrags.

23. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich unser Dienst oder die Rechtslage ändert. Über wesentliche Änderungen informieren wir registrierte Nutzerinnen und Nutzer per E-Mail. Stand: 13. Oktober 2026.