Datenschutzhinweise für Kundinnen und Kunden

Mit diesen Hinweisen informieren wir Sie nach Art. 13 der Datenschutz-Grundverordnung (DSGVO) darüber, welche Daten wir verarbeiten, wenn Sie bei uns einen Termin buchen, unsere Kundin oder unser Kunde sind oder mit uns Kontakt aufnehmen.

1. Wer verantwortlich ist

Verantwortlich für die Verarbeitung Ihrer Daten ist der Salon, bei dem Sie einen Termin buchen oder gebucht haben. Name, Anschrift und Kontaktdaten des Salons finden Sie im Impressum seiner Buchungsseite. Sie erreichen uns auf den dort genannten Wegen, auch in allen Fragen zum Datenschutz.

2. Unsere Buchungssoftware Slotora

Für Terminbuchung, Kundenkartei, Erinnerungen und Zahlungen nutzen wir die Software Slotora von Belavin Limited, handelnd unter der Bezeichnung „Slotora“, 6 Salstar Close, Birmingham B6 4PP, Vereinigtes Königreich. Slotora verarbeitet Ihre Daten nur in unserem Auftrag und nach unseren Weisungen (Auftragsverarbeitung nach Art. 28 DSGVO) und verwendet sie für nichts anderes. Für die Anmeldung im Gästebereich „Meine Termine“ ist Slotora selbst verantwortlich; das erklärt die Datenschutzerklärung von Slotora.

3. Termine und Kundenkartei

Wenn Sie online buchen, verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse, Ihre Telefonnummer, soweit wir sie abfragen, die gewählte Leistung, Mitarbeiterin oder Mitarbeiter, Datum und Uhrzeit, Ihre Anmerkungen und Ihre Antworten auf unsere Fragen zur Buchung. Name und E-Mail-Adresse brauchen wir, um den Termin anzulegen und zu bestätigen; ohne sie ist eine Online-Buchung nicht möglich. Buchen Sie telefonisch oder vor Ort, tragen wir Ihren Termin selbst ein.
Wir schicken Ihnen eine Bestätigung und Erinnerungen an Ihren Termin per E-Mail, per SMS, wenn wir den SMS-Versand nutzen, und per WhatsApp, wenn wir WhatsApp verbunden haben. Über Änderungen, Absagen und freie Plätze von der Warteliste informieren wir Sie auf demselben Weg.
In unserer Kundenkartei führen wir Ihre Termine, Notizen unseres Teams zu Ihren Behandlungen, gekaufte Gutscheine und Mehrfachkarten mit ihrem Guthaben und, wenn Sie einverstanden sind, Fotos Ihrer Behandlung, etwa Vorher-Nachher-Bilder.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag und Anbahnung des Vertrags über die Behandlung). Für Notizen, die über das für den Termin Nötige hinausgehen, stützen wir uns auf Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist, Sie beim nächsten Besuch gut zu behandeln. Fotos verarbeiten wir nur mit Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

4. Gesundheitsangaben

Für manche Behandlungen fragen wir vorab nach Allergien, Unverträglichkeiten, Medikamenten, einer Schwangerschaft oder ähnlichen Angaben, und Sie unterschreiben gegebenenfalls ein Einverständnis- oder Aufklärungsformular. Das sind Gesundheitsdaten, also besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO. Wir verarbeiten sie nur mit Ihrer ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), die Sie im Formular erteilen, und nur, um Sie sicher zu behandeln. Die Gesundheitsangaben in Ihrer Kundenkarte sehen in Slotora nur Inhaberin und Admins des Salons; sie gehen in keine Werbung, keinen Newsletter und keine KI-Funktion. Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen; dann löschen wir die Angaben, können eine Behandlung, für die sie nötig sind, aber unter Umständen nicht durchführen.

5. Werbung, Newsletter und Bitte um Bewertung

In Deutschland: Haben Sie bei uns gebucht, dürfen wir Ihnen an die dabei angegebene E-Mail-Adresse Angebote zu ähnlichen eigenen Leistungen schicken (§ 7 Abs. 3 UWG; Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO, unser Interesse ist die Pflege unserer Kundenbeziehung). Sie können dem schon bei der Buchung mit dem Kästchen „Ich möchte keine Angebote vom Salon“ und danach jederzeit widersprechen, über den Abmeldelink in jeder solchen E-Mail oder mit einer Nachricht an uns, ohne dass Ihnen dafür andere als die Übermittlungskosten nach den Basistarifen entstehen.
Unseren Newsletter — Neuigkeiten, Angebote, Geburtstagsgrüße und nach einem Besuch die Bitte um eine Bewertung — erhalten Sie nur, wenn Sie ihn bestellen und die Bestellung über den Link in der Bestätigungs-E-Mail bestätigen (Double-Opt-in; Rechtsgrundlage Art. 6 Abs. 1 lit. a DSGVO). Als Nachweis speichern wir, wann und wo Sie bestellt und bestätigt haben und welchen Text Sie dabei gesehen haben, aber keine IP-Adresse. Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, über den Abmeldelink in jeder E-Mail, im Gästebereich oder mit einer Nachricht an uns.
In Österreich schicken wir Ihnen Werbung per E-Mail nur mit Ihrer Einwilligung, also nur den Newsletter nach Double-Opt-in (§ 174 TKG 2021).
Werbung per SMS schicken wir Ihnen nicht.

6. Anzahlungen, Vorauszahlungen und Ausfallgebühren

Verlangen wir für einen Termin eine Anzahlung oder Vorauszahlung oder haben wir eine Gebühr für Nichterscheinen oder kurzfristige Absage festgelegt, zeigen wir Ihnen Betrag und Bedingungen vor der Zahlung auf der Buchungsseite an. Die Zahlung wickelt unser Zahlungsdienstleister Stripe ab; Ihre Kartendaten erhält nur Stripe, wir und Slotora sehen sie nie. Stripe speichert Ihre Karte, damit eine vereinbarte Gebühr später ohne Ihre Anwesenheit eingezogen werden kann. Ob Sie zu einem Termin nicht erschienen sind, hält unser Team fest; die vereinbarte Gebühr wird dann frühestens eine Stunde nach dem Termin von der hinterlegten Karte eingezogen. Stripe verarbeitet Zahlungsdaten auch in eigener Verantwortung, etwa zur Betrugsverhütung und für seine gesetzlichen Pflichten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Barzahlungen vor Ort erfassen wir in unserem eigenen Kassensystem, nicht in Slotora.

7. Ihr Widerrufsrecht bei Online-Buchungen

Schließen Sie online einen Vertrag mit uns, etwa eine bezahlte Buchung, einen Gutschein oder eine Mehrfachkarte, steht Ihnen ein gesetzliches Widerrufsrecht zu. Sie können es auch online über Ihre Buchung ausüben. Zur Bearbeitung speichern wir Ihre Erklärung, ihren Zeitpunkt und die Rückzahlung (Art. 6 Abs. 1 lit. b und c DSGVO).

8. Gäste-Chat, Terminbuch, Bewertungen und KI-Telefonrezeption

Terminbuch aus Papier: Übertragen wir Termine aus unserem Terminbuch aus Papier, fotografieren wir die Seite; das Foto wird an Google (Gemini) übermittelt, das die Einträge — Name, Telefonnummer, Behandlung, Uhrzeit — ausliest, und danach nicht gespeichert. Gespeichert wird nur, was wir selbst als Termin übernehmen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Interesse: alle Termine an einem Ort zu führen).
Gäste-Chat: Wenn wir ihn eingeschaltet haben, beantwortet auf unserer Buchungsseite eine KI-Assistentin Fragen zu unseren Leistungen, Preisen und freien Terminen. Ihre Frage wird dafür an Google (Gemini) übermittelt, das sie nicht zum Training seiner Modelle verwendet. Vor dem Chat prüft Cloudflare Turnstile, ob ein Mensch schreibt. Bitte schreiben Sie im Chat keine Gesundheitsangaben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Interesse: Fragen auch außerhalb der Öffnungszeiten beantworten).
Bewertungen: Bewerten Sie Ihren Besuch, veröffentlichen wir Ihre Bewertung auf unserer Buchungsseite mit Ihrem Vornamen und dem Anfangsbuchstaben Ihres Nachnamens; den vollständigen Namen sieht nur unser Team. Sie können uns jederzeit bitten, Ihre Bewertung zu entfernen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO.
KI-Telefonrezeption: Wenn wir sie eingeschaltet haben, nimmt eine KI-Assistentin Anrufe in unserem Namen entgegen, beantwortet Fragen und nimmt Terminwünsche auf. Ihre Stimme wird dafür in Echtzeit von Retell AI verarbeitet, die Telefonverbindung stellt Twilio bereit. Ein Gespräch wird nicht aufgezeichnet; wir erhalten eine schriftliche Zusammenfassung. Ihre Telefonnummer entfernen wir nach 90 Tagen aus dem Anrufprotokoll, das Protokoll selbst nach einem Jahr. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit es um Ihren Termin geht, sonst Art. 6 Abs. 1 lit. f DSGVO (Interesse: erreichbar sein, auch während wir arbeiten).

9. Wer Ihre Daten erhält

Ihre Daten sieht unser Team, soweit es sie für seine Arbeit braucht. Slotora setzt für uns die folgenden Unterauftragsverarbeiter ein, jeweils nur für die genannte Aufgabe; einige nur, wenn wir die betreffende Funktion eingeschaltet haben:

Neon — Hosting der Datenbank. Einsatz: immer.
Netlify — Hosting der Anwendung, Auslieferung über ein Content-Delivery-Netz, Speicherung hochgeladener Bilder, zeitgesteuerte Hintergrundaufgaben. Einsatz: immer.
Resend — Versand von E-Mails (Terminbestätigungen, Erinnerungen, Konto-E-Mails, unsere Hinweise an Salons). Einsatz: immer.
BulkGate — Versand von SMS. Einsatz: nur, wenn der Salon den SMS-Versand einschaltet.
Twilio — Rufnummer, auf die Kundinnen und Kunden per SMS antworten können; Ausweichweg, wenn eine SMS nicht über BulkGate versendet werden kann; Telefonnummer und Telefonleitung der KI-Telefonrezeption in Großbritannien. Einsatz: nur, wenn der Salon SMS oder die KI-Telefonrezeption einschaltet.
Retell AI — KI-Telefonrezeption: nimmt Anrufe im Namen des Salons entgegen. Einsatz: nur, wenn der Salon die KI-Telefonrezeption einschaltet.
Zadarma — Rufnummer der KI-Telefonrezeption in Deutschland, Österreich, Ungarn, Rumänien, Polen und Irland. Einsatz: nur, wenn ein Salon in einem dieser Länder die KI-Telefonrezeption einschaltet.
Cloudflare — Turnstile, die Prüfung auf automatisierte Zugriffe (Bots) bei Anmeldung, Registrierung, im Gäste-Chat der Buchungsseite und bei einigen öffentlichen Formularen. Einsatz: immer (im Gäste-Chat nur, solange der Salon ihn eingeschaltet hat).
Google Firebase — Push-Benachrichtigungen der Slotora-App. Einsatz: nur, wenn ein Teammitglied Benachrichtigungen in der App erlaubt.
Google (Gemini) — KI-Funktionen, die der Salon selbst startet, der Gäste-Chat auf der Buchungsseite und einige Aufgaben, die Slotora selbst ausführt (Entwurf von Beschreibungen für Buchungsseiten, Suche nach Websites von Lieferanten). Einsatz: wenn der Salon eine KI-Funktion nutzt, solange der Gäste-Chat eingeschaltet ist, und bei den genannten Aufgaben von Slotora.
Stripe — Zahlungsabwicklung: Anzahlungen, Vorauszahlungen und Ausfallgebühren der Gäste des Salons; Käufe des Salons bei Slotora. Einsatz: wenn der Salon Kartenzahlungen über Slotora annimmt, und gesondert, wenn er bei Slotora etwas kauft.

Nutzen wir zusätzlich einen der folgenden Dienste mit eigenem Konto, erhält er die beschriebenen Daten:

Meta (Facebook, Instagram und WhatsApp) — eine WhatsApp-Erinnerung enthält Name und Telefonnummer der Kundin oder des Kunden
ein Rechnungsprogramm (Számlázz.hu, Billingo, Xero oder QuickBooks) — eine Rechnung enthält Name und Rechnungsanschrift
Google Kalender, iCloud-Kalender oder ein anderer CalDAV-Kalender und Microsoft 365 (Outlook) — nur, wenn ein Teammitglied ihren eigenen Kalender verbindet; Slotora trägt dort die Termine ein (Name der Kundin oder des Kunden und gebuchte Leistung, nie die Telefonnummer)

10. Übermittlung außerhalb der EU

Slotora hat seinen Sitz im Vereinigten Königreich und speichert Ihre Daten in London; für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO). Einige der genannten Dienstleister haben ihren Sitz in den USA oder verarbeiten Daten dort; dafür gelten die Zertifizierung nach dem EU-US Data Privacy Framework oder die Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO).

11. Wie lange wir Ihre Daten speichern

Termin- und Kundendaten speichern wir, solange Sie bei uns Kundin oder Kunde sind, und löschen oder anonymisieren sie, wenn sie dafür nicht mehr erforderlich sind — in der Regel drei Jahre nach Ihrem letzten Termin, weil bis dahin noch Ansprüche aus der Behandlung geltend gemacht werden können. Beim Anonymisieren bleibt nur die Angabe, dass eine Leistung an einem Tag zu einem Preis erbracht wurde, ohne Bezug zu Ihrer Person.
Was wir aus steuer- und handelsrechtlichen Gründen aufbewahren müssen — Rechnungen, Belege und die Aufzeichnung, welche Leistung wir wann zu welchem Preis erbracht haben —, bewahren wir so lange auf, wie das Gesetz es verlangt: in Deutschland zehn Jahre für Bücher, Abschlüsse und Inventare, acht Jahre für Buchungsbelege wie Rechnungen und Quittungen und sechs Jahre für Geschäftsbriefe (§ 147 AO, § 257 HGB); in Österreich sieben Jahre (§ 132 BAO), jeweils ab Ende des Kalenderjahres (Art. 6 Abs. 1 lit. c DSGVO). In dieser Zeit verwenden wir diese Daten für nichts anderes.
Gesundheitsangaben löschen wir, sobald Sie Ihre Einwilligung widerrufen oder wir sie für Ihre Behandlung nicht mehr brauchen, spätestens mit Ihren übrigen Kundendaten.
Ihre E-Mail-Adresse verwenden wir für Werbung, bis Sie widersprechen oder Ihre Einwilligung widerrufen. Den Nachweis Ihrer Einwilligung und Ihres Widerspruchs bewahren wir auf, solange wir ihn zum Nachweis brauchen.

12. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Im Gästebereich „Meine Termine“ können Sie Ihre Daten jederzeit selbst herunterladen.
Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO); die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt.
Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage berechtigter Interessen verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Der Verwendung Ihrer Daten für Werbung können Sie jederzeit ohne Angabe von Gründen widersprechen; wir verwenden sie dann nicht mehr dafür.
Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), in Deutschland bei der Datenschutzaufsichtsbehörde des Bundeslandes, in dem wir unseren Sitz haben, oder bei der Behörde Ihres Wohnorts, in Österreich bei der Datenschutzbehörde (Barichgasse 40–42, 1030 Wien, dsb.gv.at).
Eine Nachricht an uns auf den in Abschnitt 1 genannten Wegen genügt. Wir antworten innerhalb eines Monats.

13. Keine automatisierten Entscheidungen

Wir treffen keine Entscheidungen, die ausschließlich auf einer automatisierten Verarbeitung beruhen und Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen (Art. 22 DSGVO). Ausfallgebühren werden nur nach den Bedingungen eingezogen, die Sie bei der Buchung gesehen haben, und erst, nachdem unser Team den Termin als nicht wahrgenommen markiert hat oder Sie selbst kurzfristig abgesagt haben.

Stand: 7. Oktober 2026.