Datenschutzhinweise

§ 1 Verantwortliche

(1) Verantwortliche für die Verarbeitung deiner personenbezogenen Daten im Sinne der Datenschutz-Grundverordnung (DSGVO) bin ich: Evelin Shefer KittyDollStudios Wundtstraße 4, 14059 Berlin KittyDollStudios@gmail.com

(2) Für Fragen zum Datenschutz oder zur Wahrnehmung deiner Rechte kannst du mich jederzeit unter der oben genannten Adresse erreichen.

§ 2 Allgemeines

(1) Ich verarbeite personenbezogene Daten meiner Kundinnen ausschließlich im Rahmen der geltenden datenschutzrechtlichen Vorschriften, insbesondere der DSGVO und des Bundesdatenschutzgesetzes (BDSG).

(2) Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen (Art. 4 Nr. 1 DSGVO).

(3) Diese Hinweise informieren dich darüber, welche Daten ich zu welchen Zwecken erhebe, an wen ich sie weitergebe, wie lange ich sie speichere und welche Rechte du hast.

§ 3 Welche Daten ich verarbeite

Je nach Kontakt und Behandlung verarbeite ich insbesondere folgende Daten:

• (1) Stammdaten: Vor- und Nachname, Anschrift, Telefonnummer, E-Mail-Adresse, Instagram-Name, Geburtsdatum (freiwillig)
• (2) Termin-/Buchungsdaten: gewählte Behandlung, Datum/Uhrzeit, Status, Buchungs- und Kommunikationsverlauf.
• (3) Kommunikationsinhalte aus E-Mail, Instagram-Direktnachricht und sonstigem Schriftverkehr.
• (4) Gesundheitsangaben (besondere Kategorien, Art. 9 DSGVO): Allergien, Unverträglichkeiten, Augen-/Hauterkrankungen, Augenoperationen, Schwangerschaft/Stillzeit, Medikamente, Kontaktlinsen. Du machst diese Angaben freiwillig im Buchungsformular; sie werden verschlüsselt (AES-256) in meiner Datenbank (Supabase, Server Frankfurt/EU) gespeichert und getrennt von den übrigen Buchungsdaten besonders geschützt.
• (5) Nachweis- und Sicherheitsdaten (zur Abwehr von Missbrauch und zur Forderungssicherung): IP-Adresse, Browser-/Gerätekennung (User-Agent), eine clientseitig berechnete Geräte-Kennung, E-Mail-Qualitäts-Status, Adress-Plausibilitäts-Status, Geokoordinaten der angegebenen Adresse, grobe Herkunft der IP-Adresse (Land/Stadt) sowie ein technischer Hosting-/VPN-Indikator (aus dem öffentlichen Reverse-DNS-Eintrag der IP-Adresse, kein externer Dienst), Zeitstempel von Buchung und E-Mail-Bestätigung.
• (6) Rechnungs-/Zahlungsdaten: Behandlungsdatum, Betrag, Zahlungsart; bei SEPA-Vorkasse Kontoinhaberin und IBAN.
• (7) Bildaufnahmen: a) zur internen Behandlungs- und Beweisdokumentation; b) für Werbung nur mit gesonderter Einwilligung.
• (8) Bei minderjährigen Kundinnen zusätzlich Kontaktdaten und Einwilligung der gesetzlichen Vertreter.

§ 4 Zwecke und Rechtsgrundlagen der Verarbeitung

• a) Terminvereinbarung, Kommunikation, Behandlung — Art. 6 Abs. 1 lit. b
• b) Rechnungsstellung, gesetzliche Aufbewahrung — Art. 6 Abs. 1 lit. c (§ 147 AO, § 257 HGB)
• c) Organisation/Betrieb — Art. 6 Abs. 1 lit. f
• d) Gesundheitsangaben zur sicheren Behandlung — Art. 9 Abs. 2 lit. a i. V. m. Art. 6 Abs. 1 lit. a (ausdrückliche Einwilligung über das Buchungsformular); verschlüsselte Speicherung in meiner Datenbank
• e) Geburtstags-Gruß — Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an persönlicher Kundenbindung). Die Angabe des Geburtsdatums ist freiwillig und jederzeit widerrufbar.
• f) Missbrauchs-/Betrugsprävention und Forderungssicherung (IP, Geräte-Kennung, Bot-Schutz, E-Mail-/Adressprüfung) — Art. 6 Abs. 1 lit. f
• g) IT-Sicherheit, Stabilität, Server-Logs — Art. 6 Abs. 1 lit. f
• h) interne Bild-Beweisdokumentation — Art. 6 Abs. 1 lit. f
• i) Werbe-Fotos — Art. 6 Abs. 1 lit. a sowie § 22 KunstUrhG
• j) Durchsetzung/Abwehr rechtlicher Ansprüche — Art. 6 Abs. 1 lit. b und lit. f
• k) Öffentliche Bewertungen — wenn du über die Bewertungs-Seite eine Bewertung abgibst, verarbeite ich deinen angegebenen Vornamen, deinen Bewertungstext und die Sternezahl (ein optionaler Instagram-Handle wird gespeichert, aber nicht öffentlich gezeigt) zum Zweck der öffentlichen Darstellung auf meiner Website — Art. 6 Abs. 1 lit. a (Einwilligung). Die Einwilligung ist jederzeit mit Wirkung für die Zukunft widerrufbar; auf Wunsch lösche ich deine Bewertung.

§ 5 Empfänger der Daten und Auftragsverarbeitung

(1) Deine Daten gebe ich nur weiter, soweit dies zur Erfüllung der Zwecke aus § 4 erforderlich ist oder du eingewilligt hast. Empfänger sind insbesondere:

• a) Vercel Inc. — Hosting (Server Frankfurt)
• b) Supabase Inc. — Datenbank (Server Frankfurt); Gesundheitsangaben ausschließlich verschlüsselt (AES-256)
• c) Resend Inc. — E-Mail-Versand
• d) OpenStreetMap Foundation (UK) — Adress-Plausibilität (ohne Name/E-Mail)
• e) Meta Platforms Ireland — nur bei Kommunikation über Instagram-Direktnachricht
• f) Microsoft Ireland Operations Limited — Website-Analyse (Clarity), nur mit deiner Einwilligung, siehe § 5a
• g) Steuerberater, Finanzbehörden, Rechtsanwälte, Inkasso, Gerichte — soweit erforderlich

Mit meinen Dienstleistern bestehen die datenschutzrechtlich erforderlichen Verträge (Auftragsverarbeitung bzw. Standardvertragsklauseln).

§ 5a Cookies und lokale Speicherung

(1) Technisch notwendige Cookies und vergleichbare Speichertechniken setze ich immer ein. Eine Einwilligung ist hierfür nicht erforderlich (§ 25 Abs. 2 TDDDG).

(2) Im Einzelnen:

• a) Login-Session (Supabase Auth) — nur für meinen Admin-Zugang, nicht für Kundinnen.
• b) Hinweis-Speicher (lokale Speicherung „localStorage“) — merkt sich, dass dieser Hinweis bestätigt bzw. welche Cookie-Wahl getroffen wurde.

(3) Nur mit deiner Einwilligung setze ich zusätzlich Analyse-Cookies von Microsoft Clarity (Microsoft Ireland Operations Limited) ein: _clck (Laufzeit 1 Jahr) und _clsk (Laufzeit 1 Tag). Zweck ist nachzuvollziehen, wie Besucherinnen die Website nutzen (Mausbewegung, Klicks, Scrollverhalten als Heatmap und Sitzungsaufzeichnung), um die Website zu verbessern — Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Eine Sitzungsaufzeichnung ist keine anonyme Statistik: aufgezeichnet wird dein tatsächlicher Weg durch die Seite. Auf der Buchungsstrecke (/booking) läuft Clarity deshalb nicht, da dort Gesundheitsangaben erfasst werden. Getippter Text in Formularfeldern wird von Clarity automatisch maskiert. Microsoft verarbeitet die Daten auch in den USA; Grundlage dafür ist der Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework, für das Microsoft zertifiziert ist. Du entscheidest beim ersten Website-Besuch über den Cookie-Hinweis und kannst deine Wahl jederzeit über „Cookie-Einstellungen“ im Footer ändern bzw. widerrufen (Art. 7 Abs. 3 DSGVO); nach spätestens einem Jahr frage ich erneut.

§ 6 Übermittlung in Drittländer

Bei einzelnen Diensten kann ein Zugriff aus einem Drittland (insbesondere USA) nicht ausgeschlossen werden:

(1) Buchungsdaten und Gesundheitsangaben werden auf Servern in der EU gespeichert (Vercel Frankfurt, Supabase Frankfurt); Gesundheitsangaben zusätzlich verschlüsselt.

(2) Soweit ein Zugriff durch die US-Anbieter bzw. deren Mutterunternehmen nicht ausgeschlossen werden kann: – Vercel, Resend, Meta, Microsoft: EU-US Data Privacy Framework (Art. 45 DSGVO), ergänzt um Standardvertragsklauseln in den AVV. – Supabase: Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) in den AVV; Speicherung bei Supabase in der EU.

(3) OpenStreetMap (UK): Angemessenheitsbeschluss der EU-Kommission (Art. 45).

§ 7 Speicherdauer

Ich speichere deine Daten nur so lange, wie es für die Zwecke aus § 4 erforderlich ist oder gesetzliche Aufbewahrungspflichten dies vorschreiben:

• (1) Stamm-, Termin- und Kommunikationsdaten: max. 12 Monate nach dem letzten Termin, zzgl. Verjährungsfristen bei offenen Ansprüchen.
• (2) Gesundheitsangaben (verschlüsselt): bis zu 3 Jahre nach dem Termin (Nachweis bei etwaigen Ansprüchen, § 195 BGB), danach Löschung.
• (3) Nachweis-/Sicherheitsdaten (IP, Geräte-Kennung etc.): 3 Jahre, danach Anonymisierung; bei laufender Forderung bis zum Abschluss.
• (4) Rechnungs-/Zahlungsdaten: 8 Jahre (§ 147 AO, BEG IV).
• (5) Server-Logs (Vercel): ca. 30 Tage.
• (6) Werbe-Fotos: bis zum Widerruf der Einwilligung.
• (7) Interne Beweisfotos: bis zum Ablauf der gesetzlichen Verjährungsfrist für Ansprüche aus der Behandlung (regelmäßig drei Jahre ab Ende des Jahres der Kenntniserlangung, §§ 195, 199 BGB), längstens jedoch fünf Jahre nach dem Termin; bei laufender Auseinandersetzung bis zu deren Abschluss.

§ 8 Pflicht zur Bereitstellung

(1) Die Bereitstellung der für Termin, Behandlung und Abrechnung erforderlichen Daten ist notwendig. Ohne diese Daten kann kein Behandlungsvertrag zustande kommen.

(2) Die Angabe von Gesundheitsdaten ist freiwillig. Ohne relevante Angaben kann ich die Behandlung im Einzelfall aus Sicherheitsgründen nicht oder nur eingeschränkt durchführen.

(3) Die Erteilung der Einwilligung in die Anfertigung und Verwendung von Werbeaufnahmen ist freiwillig. Eine Verweigerung hat keinerlei Einfluss auf die Behandlung (Koppelungsverbot, Art. 7 Abs. 4 DSGVO).

§ 9 Deine Rechte

Dir stehen mir gegenüber die folgenden Rechte zu:

• a) Auskunft (Art. 15 DSGVO),
• b) Berichtigung (Art. 16 DSGVO),
• c) Löschung (Art. 17 DSGVO),
• d) Einschränkung der Verarbeitung (Art. 18 DSGVO),
• e) Datenübertragbarkeit (Art. 20 DSGVO),
• f) Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO),
• g) Widerruf von Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO),
• h) Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO, siehe § 10).

Zur Wahrnehmung dieser Rechte kannst du dich jederzeit formlos an mich wenden (Kontaktdaten siehe § 1). Bei minderjährigen Kundinnen können die Rechte auch durch die gesetzlichen Vertreter ausgeübt werden.

§ 10 Beschwerderecht

(1) Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere im Mitgliedstaat deines gewöhnlichen Aufenthalts, deines Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes (Art. 77 DSGVO).

(2) Für mich zuständige Aufsichtsbehörde ist:
Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI)
Alt-Moabit 59–61, 10555 Berlin
Telefon: 030 13889-0
E-Mail: mailbox@datenschutz-berlin.de
Internet: www.datenschutz-berlin.de

§ 11 Widerruf von Einwilligungen

(1) Soweit eine Verarbeitung auf einer Einwilligung beruht (insbesondere Gesundheitsdaten und Werbeaufnahmen), kannst du diese jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO).

(2) Der Widerruf kann formlos in Textform erfolgen, etwa per E-Mail an KittyDollStudios@gmail.com.

(3) Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

§ 12 Keine automatisierte Entscheidung / kein Profiling

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO findet nicht statt.

§ 13 Datenverarbeitung im Zusammenhang mit Gutscheinen

Beim Verkauf und der Einlösung von Gutscheinen verarbeite ich personenbezogene Daten, soweit dies zur Vertragsdurchführung, Gutscheinverwaltung, Zahlungsabwicklung sowie zur Erfüllung gesetzlicher Aufbewahrungspflichten erforderlich ist (Art. 6 Abs. 1 lit. b und lit. c DSGVO). Die Speicherdauer richtet sich nach § 7 Abs. 2 dieser Hinweise. Bei minderjährigen Kundinnen erfolgt die Verarbeitung im Zusammenhang mit Gutscheinen ausschließlich mit Zustimmung der gesetzlichen Vertreter.

§ 14 Datenverarbeitung bei minderjährigen Kundinnen

(1) Bei Kundinnen unter 18 Jahren verarbeite ich personenbezogene Daten nur mit Zustimmung der gesetzlichen Vertreter.

(2) Die Einwilligung der gesetzlichen Vertreter erfolgt in Textform (§ 126b BGB) entsprechend § 10 der AGB.

(3) Die in § 9 dieser Hinweise genannten Rechte können auch durch die gesetzlichen Vertreter ausgeübt werden.

§ 15 Aktualisierung dieser Datenschutzhinweise

(1) Diese Hinweise werden bei Änderungen der Verarbeitungspraxis oder der Rechtslage angepasst. Maßgeblich ist die jeweils aktuell auf der Website kittydollstudios.de oder im Studio einsehbare Fassung.

(2) Über wesentliche Änderungen, die deine Rechte betreffen, informiere ich aktiv im Rahmen der weiteren Kommunikation.