Datenschutzerklärung

Stand: 28.06.2026

Die Website https://www.calendoora.de/ sowie die Webanwendung und mobilen Anwendungen von Calendoora (nachfolgend gemeinsam die „Plattform“) bieten Funktionen zur Vermittlung und Organisation von Terminen zwischen Endkunden und Dienstleistern, insbesondere Salonbetreibern (nachfolgend der „Dienst“).

Diese Datenschutzerklärung (nachfolgend die „Datenschutzerklärung“) informiert Sie über die Verarbeitung Ihrer personenbezogenen Daten im Zusammenhang mit der Nutzung der Plattform, insbesondere beim Besuch der Website, der Nutzung der Webanwendung sowie der mobilen Anwendungen.

Weitere Informationen zur Verwendung von Cookies und ähnlichen Technologien finden Sie in unserem Cookie-Hinweis.

Die in dieser Datenschutzerklärung verwendeten Begriffe haben die Bedeutung, die in unseren Allgemeinen Geschäftsbedingungen festgelegt sind. Wir empfehlen Ihnen, diese zu konsultieren, um sich über die Nutzungsbedingungen des Dienstes zu informieren.

Verantwortlicher und Datenschutzkontakt

Verantwortlich im Sinne der DSGVO ist:

Calendoora UG (haftungsbeschränkt)
Lauskopf 30
35789 Weilmünster-Möttau
Deutschland

Handelsregister: HRB 143581, Amtsgericht Frankfurt am Main

Geschäftsführer: Richard Fayaz
E-Mail: support@calendoora.de
Website: https://calendoora.de

Ein Datenschutzbeauftragter ist nicht bestellt. Datenschutzrechtliche Anfragen, Auskunftsersuchen oder sonstige Anliegen im Zusammenhang mit der Verarbeitung Ihrer personenbezogenen Daten richten Sie bitte per E-Mail an support@calendoora.de.

1. Kategorien personenbezogener Daten

Je nach Nutzung der Website, Web-App oder App verarbeiten wir insbesondere folgende Daten:

1.1 Kontodaten von Salonbetreibern und deren Mitarbeitern

• Name, Vorname
• Kontaktinformationen (E-Mail-Adresse und Telefonnummer), welche notwendig sind, um ein Konto zu erstellen und die Leistung bereitzustellen, um auf Ihre Anfragen zu reagieren und Sie bei Bedarf zu kontaktieren
• Salonname und Anschrift
• Benutzername / Login-Daten / Anmelde-ID (Passwort nur in verschlüsselter Form)
• Rollen und Berechtigungen (z.B. Inhaber, Manager, Mitarbeiter)

1.2 Termin- und Buchungsdaten

• gebuchte Termine
• Datum, Uhrzeit und Dauer von Terminen
• gebuchte Leistungen
• zuständiger Mitarbeiter
• Standort des Salons
• Buchungshistorie
• ggf. vom Salon hinzugefügte Notizen (z.B. interne Hinweise, sofern eingegeben)

1.3 Daten von Endkunden der Salons

Wenn Endkunden über unsere Plattform Termine bei einem Salon buchen, werden insbesondere verarbeitet:

• Name
• Kontaktdaten (z.B. Telefonnummer, E-Mail-Adresse)
• gebuchte Leistungen und Termine
• Buchungshistorie
• Ihre Suche nach Beauty-Anbietern
• abgegebene Bewertungen und Kommentare (soweit genutzt)

Hinweis: Für die Verarbeitung dieser Daten im Rahmen des konkreten Dienstleistungsverhältnisses ist der jeweilige Salon Verantwortlicher im Sinne der DSGVO. Wir verarbeiten diese Daten im Verhältnis zum Salon als Auftragsverarbeiter.

1.4 Mitarbeiterdaten der Salons und Leistungsstatistiken

• Name und Rolle des Mitarbeiters im Salon
• zugeordnete Leistungen und Termine
• Arbeitszeiten / Schichtpläne, soweit im System erfasst
• Anzahl der Termine pro Mitarbeiter
• Auslastung des Terminkalenders eines Mitarbeiters
• ggf. Umsätze, die den von einem Mitarbeiter bedienten Terminen zugeordnet werden (z.B. Dienstleistungsumsatz pro Zeitraum)
• interne Kennzahlen wie Rankings oder Performance-Auswertungen, soweit diese im System bereitgestellt werden

Welche Auswertungen im Einzelfall genutzt werden, hängt von den Einstellungen des jeweiligen Salons ab. Kennzahlen zu Mitarbeitern sind typischerweise nur für Inhaber/Manager sichtbar; Mitarbeiter können in der Regel ihre eigenen Kennzahlen einsehen, nicht jedoch die Kennzahlen anderer Mitarbeiter.

Wichtiger Hinweis: Die Nutzung dieser Auswertungen im Rahmen des Beschäftigungsverhältnisses (z.B. zur Leistungs- oder Verhaltenskontrolle) unterliegt den arbeitsrechtlichen und datenschutzrechtlichen Vorgaben, insbesondere § 26 BDSG. Die Verantwortung für die rechtmäßige Nutzung der Funktionen gegenüber den Mitarbeitern trägt ausschließlich der jeweilige Salon. Calendoora trifft keine arbeitsrechtlichen Entscheidungen und nutzt diese Daten nicht für eigene Bewertungszwecke.

Wir empfehlen den Salons, ihre Mitarbeiter gesondert über die Nutzung von „Calendoora“ und die damit verbundenen Auswertungen zu informieren (z.B. mittels entsprechender Mitarbeiter-Datenschutzhinweise für welches Calendoora dem jeweiligen Salon ein Musterdokument bereitstellt)

1.5 Technische Daten und Nutzungsdaten

• IP-Adresse
• Datum und Uhrzeit des Zugriffs
• aufgerufene Seiten / Funktionen
• HTTP-Statuscode
• Referrer-URL (zuvor besuchte Seite)
• Gerätetyp, Betriebssystem, Browsertyp und -version
• Gerätekennungen (z.B. Device-ID, Push-Token)
• App-Version
• Log-Daten (z.B. technische Fehler, Systemereignisse)

Diese Daten verwenden wir, um die Website sicher und funktionsfähig zu betreiben, die Nutzung der Website auszuwerten, die Reichweite zu messen sowie – abhängig von Ihren Cookie-Einstellungen – Funktionen von sozialen Netzwerken bereitzustellen. Weitere Details dazu finden Sie in unserem Cookie-Hinweis.

1.6 Kommunikationsdaten

Bei Kontaktaufnahme mit uns oder beim Versand von Systemnachrichten:

• E-Mail-Adresse
• Telefonnummer
• Inhalt der Anfrage
• Versand- und Zustellinformationen (z.B. beim SMS-Versand über unseren Dienstleister)

2. Warum erhebt Calendoora personenbezogene Daten?

Calendoora erhebt und verarbeitet personenbezogene Daten auf Grundlage der folgenden Rechtsgrundlagen und zu den nachstehenden Zwecken:

A/ Zur Erfüllung vertraglicher und vorvertraglicher Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO)

• Bereitstellung und Betrieb der Website, Web-App und mobilen Anwendung
• Einrichtung und Verwaltung von Benutzerkonten (insbesondere für Salonbetreiber, Mitarbeiter und Endkunden)
• Durchführung der angebotenen SaaS-Leistungen, insbesondere Terminbuchung, Terminverwaltung, Mitarbeiterverwaltung, Kundenverwaltung sowie Bereitstellung von Geschäftsanalysen
• Durchführung und Abwicklung von Terminbuchungen zwischen Endkunden und Salons
• Versand von themenbezogenen Mitteilungen (z. B. Terminbestätigungen, Terminerinnerungen und Bewertungserinnerungen), Sie dem aktiv zugestimmt haben)
• Bearbeitung von Supportanfragen und Kommunikation mit Nutzern im Zusammenhang mit der Nutzung unserer Dienste

B/ Auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO)

• Versand von Bewertungsanfragen nach Terminen (z. B. per E-Mail oder SMS), sofern Sie hierzu ausdrücklich eingewilligt haben
• Anpassung von Inhalten sowie Analyse des Nutzungsverhaltens, soweit dies auf Basis von Cookie-Einwilligungen erfolgt
• Versand von optionalen Informationen oder Mitteilungen, sofern eine entsprechende Einwilligung vorliegt

C/ Zur Wahrung berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO)

• Gewährleistung der Funktionsfähigkeit, Stabilität und Sicherheit der Systeme und der Plattform
• Durchführung interner Auswertungen und statistischer Analysen zur Verbesserung und Weiterentwicklung der Plattform
• Prävention und Aufklärung von Missbrauch, Betrug oder sonstigen rechtswidrigen Handlungen
• Durchsetzung unserer Nutzungsbedingungen sowie Abwehr oder Geltendmachung rechtlicher Ansprüche

D/ Zur Erfüllung rechtlicher Verpflichtungen (Art. 6 Abs. 1 lit. c DSGVO)

• Erfüllung gesetzlicher Aufbewahrungs- und Nachweispflichten, insbesondere nach handels- und steuerrechtlichen Vorschriften
• Erfüllung sonstiger gesetzlicher Verpflichtungen, denen Calendoora unterliegt

3. Bereitstellung der Website und Server-Logfiles

Beim Aufruf unserer Website werden automatisch Logfiles durch unseren Webserver erstellt. Die dabei verarbeiteten Daten (siehe Abschnitt 1.5) sind technisch erforderlich, um die Website anzuzeigen, Stabilität und Sicherheit zu gewährleisten und mögliche Angriffe abzuwehren.

Logfiles werden in der Regel nach 14 Tagen automatisch gelöscht, sofern keine längere Aufbewahrung zur Aufklärung von Sicherheitsvorfällen erforderlich ist.

4. Registrierung und Nutzung der Plattform (Salonbetreiber und Mitarbeiter)

Bei der Registrierung als Salonbetreiber sowie bei der Anlage von Mitarbeiterkonten verarbeiten wir die erforderlichen Kontodaten, um ein Nutzerkonto anzulegen, die Plattform bereitzustellen und ggf. abzurechnen. Pflichtfelder sind im Registrierungsformular als solche gekennzeichnet (z. B. mit einem Sternchen *). Ohne Angabe der Pflichtfelder ist eine Registrierung und die Nutzung der Plattform nicht möglich. Die Angabe weiterer Daten ist freiwillig.

5. Terminbuchungen durch Endkunden

(1) Endkunden können über unsere Plattform Termine bei teilnehmenden Salons buchen. Dabei werden personenbezogene Daten des Endkunden (z.B. Name, Kontaktdaten, Terminwunsch) erfasst und an den ausgewählten Salon übermittelt.

(2) In Bezug auf das Dienstleistungsverhältnis (z.B. Haarschnitt, Behandlung) ist der jeweilige Salon Verantwortlicher im Sinne der DSGVO. Wir verarbeiten Endkundendaten in diesem Zusammenhang als Auftragsverarbeiter.

(3) Endkunden sollten sich zusätzlich an den jeweiligen Salon wenden, um Informationen zur Datenverarbeitung im Salon (insbesondere hinsichtlich Beschäftigtendaten, Terminorganisation und Abrechnung) zu erhalten.

6. Einsatz von Auftragsverarbeitern und externen Dienstleistern

Zur Bereitstellung unserer Dienste setzen wir technische Dienstleister ein, die in unserem Auftrag personenbezogene Daten verarbeiten (sog. Auftragsverarbeiter gemäß Art. 28 DSGVO) oder als eigenständige Dienstleister tätig werden. Mit allen Auftragsverarbeitern wurden entsprechende Verträge zur Auftragsverarbeitung abgeschlossen, die sicherstellen, dass die Verarbeitung Ihrer Daten ausschließlich nach unseren Weisungen und im Einklang mit den geltenden Datenschutzvorschriften erfolgt.

Im Rahmen unserer Plattform kommen insbesondere folgende Dienstleister zum Einsatz:

• Supabase (Hosting der Datenbank): Speicherung und Verarbeitung sämtlicher Anwendungsdaten, insbesondere Benutzer-, Termin- und Kontodaten
• Scaleway (Object Storage und E-Mail-Versand): Speicherung von hochgeladenen Dateien (z. B. Bilder) sowie Versand transaktionaler E-Mails (z. B. Terminbestätigungen)
• seven.io (SMS-Versand): Versand von SMS, insbesondere zur Verifizierung von Telefonnummern und für Terminerinnerungen
• Firebase (Push-Benachrichtigungen): Versand von Push-Nachrichten an registrierte Endgeräte
• Chatwoot (Support-Chat, selbst gehostet): Verarbeitung von Supportanfragen und Kommunikationsinhalten; Hosting erfolgt auf eigener Infrastruktur bei Hetzner
• Google Analytics (Webanalyse): Analyse des Nutzerverhaltens auf öffentlich zugänglichen Seiten, ausschließlich auf Grundlage Ihrer Einwilligung

7. Datenübermittlung in Drittländer

Eine Übermittlung personenbezogener Daten in Staaten außerhalb der Europäischen Union (EU) bzw. des Europäischen Wirtschaftsraums (EWR) (sog. „Drittländer“) erfolgt nur, soweit dies zur Erfüllung unserer vertraglichen Leistungen erforderlich ist, Sie uns Ihre Einwilligung erteilt haben oder eine sonstige gesetzliche Erlaubnis vorliegt.

Sofern wir Dienstleister einsetzen, die Daten in Drittländern verarbeiten oder bei denen ein Zugriff aus Drittländern nicht ausgeschlossen werden kann (insbesondere bei US-amerikanischen Anbietern wie Google im Zusammenhang mit Firebase oder Google Analytics), erfolgt die Übermittlung Ihrer Daten ausschließlich unter Einhaltung der besonderen Voraussetzungen der Art. 44 ff. DSGVO.

Dies bedeutet insbesondere:

• Die Übermittlung erfolgt auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission, sofern ein solcher für das jeweilige Drittland vorliegt (z. B. für zertifizierte Unternehmen im Rahmen des EU-U.S. Data Privacy Framework), oder
• es werden geeignete Garantien vorgesehen, insbesondere durch den Abschluss von Standardvertragsklauseln (SCCs) der Europäischen Kommission gemäß Art. 46 DSGVO, oder
• die Übermittlung erfolgt auf Grundlage einer ausdrücklichen Einwilligung gemäß Art. 49 Abs. 1 lit. a DSGVO, sofern keine anderen geeigneten Garantien vorliegen

Wir treffen darüber hinaus angemessene technische und organisatorische Maßnahmen, um ein dem europäischen Datenschutzrecht entsprechendes Schutzniveau sicherzustellen. Dazu gehören insbesondere Maßnahmen zur Datenminimierung, Verschlüsselung sowie Zugriffsbeschränkungen.

Weitere Informationen zu den konkret eingesetzten Dienstleistern und den jeweiligen Datenverarbeitungen finden Sie in den entsprechenden Abschnitten dieser Datenschutzerklärung. Mit sämtlichen eingesetzten Auftragsverarbeitern wurden Verträge zur Auftragsverarbeitung gemäß Art. 28 DSGVO abgeschlossen, um sicherzustellen, dass die Verarbeitung personenbezogener Daten ausschließlich im Einklang mit den geltenden datenschutzrechtlichen Vorschriften erfolgt

8. Auftragsverarbeiter: SMS-Benachrichtigungen (seven.io)

(1) Salons können über unsere Plattform optionale SMS-Funktionen nutzen, z.B.:

• Termin-Erinnerungen
• Bewertungsanfragen nach einem Termin

(2) Der Versand der SMS erfolgt über einen externen Kommunikationsdienstleister (derzeit seven.io). Der Dienstleister verarbeitet Telefonnummern und den Inhalt der SMS ausschließlich zum Versand der Nachrichten in unserem Auftrag.

(3) Für die Einholung der erforderlichen Einwilligungen der Endkunden zum Erhalt von SMS ist der jeweilige Salon verantwortlich. Wir stellen lediglich die technische Möglichkeit zur Verfügung.

Rechtsgrundlage:

• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) — Calendoora holt die Einwilligung der Endkunden zum SMS-Empfang direkt über die Plattform ein
• Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) — soweit der SMS-Versand unmittelbar der Durchführung eines gebuchten Termins dient (z. B. Terminbestätigung)

9. Auftragsverarbeiter: Hosting und Datenbank-Infrastruktur (Supabase)

(1) Unsere Plattform wird auf der Infrastruktur der Supabase betrieben. Supabase stellt eine gemanagte PostgreSQL-Datenbank bereit, in der sämtliche für den Betrieb der Plattform erforderlichen Anwendungsdaten gespeichert und verarbeitet werden.

(2) Dabei werden insbesondere folgende Kategorien personenbezogener Daten verarbeitet:

• Bestands- und Kontaktdaten (z. B. E-Mail-Adresse, Telefonnummer, Vor- und Nachname, Spracheinstellungen, Verifizierungsstatus)
• Authentifizierungs- und Sitzungsdaten (z. B. gehashte Passwörter, Session-Tokens, IP-Adresse, User-Agent)
• Termin- und Nutzungsdaten (z. B. gebuchte Termine, Leistungen, Zeitpunkte, Zuordnung zu Mitarbeitern)
• Unternehmens- und Stammdaten von Salons (z. B. Geschäftsname, Adresse, Kontaktdaten, Öffnungszeiten)
• Mitarbeiterdaten (z. B. Name, Arbeitszeiten, optionale Profilinformationen)
• Kommunikations- und Verifikationsdaten (z. B. gehashte OTP-Codes, Einladungsdaten, Versandprotokolle von Erinnerungen)
• Technische Identifikatoren (z. B. Geräte- bzw. Push-Token für Benachrichtigungen)
• Abrechnungsbezogene Metadaten (z. B. verwendete Telefonnummern für SMS-Versand, Zeitstempel, Kostenreferenzen)

(3) Die Datenverarbeitung durch Supabase erfolgt ausschließlich zum Zweck der Bereitstellung, Durchführung und Sicherstellung des Betriebs unserer Plattform. Supabase fungiert dabei als Auftragsverarbeiter im Sinne des Art. 28 DSGVO. Es wurde ein entsprechender Vertrag zur Auftragsverarbeitung abgeschlossen, der sicherstellt, dass personenbezogene Daten nur nach unseren Weisungen und im Einklang mit den geltenden Datenschutzvorschriften verarbeitet werden.

(4) Die Daten werden grundsätzlich in Rechenzentren innerhalb der Europäischen Union gespeichert. Backups erfolgen ebenfalls innerhalb dieser Region. Eine Nutzung der Daten zu eigenen Zwecken durch Supabase erfolgt nicht.

(5) Die Absicherung der Daten erfolgt durch geeignete technische und organisatorische Maßnahmen. Hierzu gehören insbesondere Zugriffsbeschränkungen, Authentifizierungsmechanismen sowie die logische Trennung von Datenbeständen. Die Zugriffskontrolle auf Datenbankebene erfolgt über die Anwendungslogik.

(6) Soweit in Ausnahmefällen ein Zugriff auf personenbezogene Daten aus Drittländern (z. B. im Rahmen von Support- oder Wartungsleistungen durch Supabase) nicht ausgeschlossen werden kann, erfolgt dies ausschließlich unter Einhaltung der Voraussetzungen der Art. 44 ff. DSGVO. In diesen Fällen werden insbesondere geeignete Garantien wie EU-Standardvertragsklauseln gemäß Art. 46 DSGVO eingesetzt. Ein Restrisiko eines Zugriffs durch Behörden in Drittländern kann hierbei nicht vollständig ausgeschlossen werden

10. Webanalyse und ggf. Werbenutzung mit Google Analytics 4 (GA4)

(1) Wir verwenden Google Analytics 4 („GA4“), einen Dienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google“), um die Nutzung unserer Website und Plattform statistisch auszuwerten und zu optimieren.

(2) GA4 nutzt Cookies oder ähnliche Technologien. Die dabei erzeugten Informationen über Ihre Nutzung unserer Angebote werden in der Regel an Server von Google übertragen. Wir haben die IP-Anonymisierung aktiviert, sodass die IP-Adresse in der Regel innerhalb der EU/des EWR gekürzt wird.

(3) Die durch GA4 erhobenen Daten nutzen wir insbesondere zu folgenden Zwecken:

• statistische Auswertung der Nutzung unserer Website und Plattform
• Verbesserung der Bedienbarkeit und Nutzererfahrung
• interne Analyse unseres Marketings
• perspektivisch auch zur Unterstützung von Google‑Ads‑Kampagnen (z.B. Auswertung von Conversions). Eine direkte Integration (z.B. Conversion‑Import in Google Ads) besteht derzeit noch nicht; wir behalten uns diese Nutzung jedoch für die Zukunft vor

(4) In GA4 werden keine Klarnamen oder E‑Mail‑Adressen als solche gespeichert; wir achten darauf, dass keine sensiblen Daten übermittelt werden. Es ist jedoch nicht ausgeschlossen, dass technische Nutzungsdaten und von uns definierte Ereignisse im Einzelfall einen Personenbezug haben können.

(5) Es ist nicht ausgeschlossen, dass Google Daten in die USA oder andere Drittländer überträgt. In diesem Fall erfolgt die Übermittlung auf Basis der von Google verwendeten Standardvertragsklauseln der EU‑Kommission (Art. 46 DSGVO). Dennoch kann ein Restrisiko bestehen, dass Behörden in Drittländern auf Daten zugreifen.

(6) GA4 wird nur eingesetzt, wenn Sie hierzu im Cookie-Banner ausdrücklich eingewilligt haben. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie die Cookie-Einstellungen auf unserer Website anpassen oder entsprechende Cookies löschen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO i.V.m. § 25 TTDSG (Einwilligung).

Weitere Informationen: Datenschutzhinweise von Google: https://policies.google.com/privacy
Informationen zu Google Analytics 4: https://support.google.com/analytics/answer/11593727

11. Cookies und ähnliche Technologien

(1) Wir verwenden Cookies und ähnliche Technologien (z.B. Local Storage) auf unserer Website und Plattform. Dabei unterscheiden wir:

• Technisch notwendige Cookies: erforderlich für den Betrieb der Website und Plattform (z.B. Login, Session-Verwaltung, Sicherheitsfunktionen)
• Analyse-Cookies (GA4): zur statistischen Auswertung der Nutzung unserer Angebote
• Derzeit setzen wir keine eigenständigen Marketing-/Retargeting-Cookies ein

(2) Technisch notwendige Cookies setzen wir auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO und § 25 Abs. 2 Nr. 2 TTDSG ein. Unsere berechtigten Interessen liegen in der Bereitstellung einer funktionsfähigen und sicheren Plattform.

(3) Analyse-Cookies (GA4) setzen wir ausschließlich nach Ihrer Einwilligung ein (Art. 6 Abs. 1 lit. a DSGVO i.V.m. § 25 TTDSG). Sie können Ihre Einwilligung jederzeit über die Cookie-Einstellungen widerrufen.

(4) Details zu den konkret eingesetzten Cookies (Name, Anbieter, Zweck, Speicherdauer) finden Sie in unserer Cookie Policy sowie im Cookie-Banner

12. Auftragsverarbeiter: Chat-Tool (Chatwoot)

(1) Zur Bereitstellung eines direkten Kommunikationskanals für Supportanfragen setzen wir die Open-Source-Software Chatwoot ein. Das Chat-System wird ausschließlich auf unserer eigenen Infrastruktur betrieben und ist unter der Domain support.calendoora.de erreichbar. Eine Verarbeitung personenbezogener Daten durch externe Anbieter von Chatwoot findet nicht statt.

(2) Das Chat-Widget wird ausschließlich für eingeloggte Nutzer im Administrationsbereich unserer Plattform bereitgestellt und ist auf öffentlich zugänglichen Seiten standardmäßig deaktiviert.

(3) Im Rahmen der Nutzung des Chat-Tools werden folgende personenbezogene Daten verarbeitet:

• E-Mail-Adresse des Nutzers, die beim Laden des Admin-Bereichs zur Identifikation an das Chat-System übermittelt wird
• Verifizierungs-Hash, ein serverseitig erzeugter HMAC-Wert zur sicheren Authentifizierung des Nutzers im Chat-System
• Spracheinstellungen (Locale) des Nutzers zur Anpassung der Chat-Oberfläche
• Chat-Inhalte, also sämtliche Nachrichten, die Sie im Rahmen der Support-Kommunikation eingeben
• technische Metadaten, wie Zeitpunkt der Nutzung und ggf. Browserinformationen zur Sicherstellung des Betriebs und zur Fehleranalyse

(4) Eine Verarbeitung von darüber hinausgehenden personenbezogenen Daten, insbesondere von Termin- oder Kundendaten, erfolgt im Rahmen des Chat-Systems nicht.

(5) Die Verarbeitung der Daten erfolgt ausschließlich zum Zweck der Bearbeitung von Supportanfragen sowie zur Sicherstellung und Verbesserung unseres Kundensupports.

(6) Das Hosting der Chat-Infrastruktur erfolgt über die Hetzner. Mit diesem Anbieter wurde ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO abgeschlossen. Die Verarbeitung personenbezogener Daten erfolgt ausschließlich auf Servern innerhalb der Europäischen Union und im Einklang mit den geltenden datenschutzrechtlichen Vorschriften

13. Auftragsverarbeiter: Zahlungsabwicklung über Stripe

(1) Für die Abwicklung von Zahlungen (z.B. Abonnements von Salonbetreibern) setzen wir den Zahlungsdienstleister Stripe ein.

(2) Anbieter ist:

Stripe Payments Europe Limited
1 Grand Canal Street Lower
Grand Canal Dock
Dublin, D02 H210
Irland

(3) Im Rahmen der Zahlungsabwicklung über Stripe werden insbesondere folgende Daten verarbeitet:

• Rechnungsdaten (Name, Adresse, E-Mail)
• Zahlungsinformationen (z.B. Kartentyp, verkürzte Kartennummer, Ablaufdatum)
• Transaktionsdaten (Betrag, Datum, Uhrzeit, Referenznummer)
• technische Daten zur Betrugsprävention

(4) Stripe verarbeitet die Daten teilweise in eigener Verantwortung und teilweise als Auftragsverarbeiter. Stripe kann Daten in Drittländer, insbesondere in die USA, übermitteln. Es wurde mit Stripe ein Auftragsverarbeitung Vertrag abgeschlossen. Die Übermittlung erfolgt auf Grundlage geeigneter Garantien gemäß Art. 46 DSGVO (insbesondere EU‑Standardvertragsklauseln).

Weitere Informationen zur Datenverarbeitung durch Stripe finden Sie in den Datenschutzhinweisen von Stripe: https://stripe.com/privacy

14. Auftragsverarbeiter: Applikations-Hosting, Dateispeicherung und E-Mail-Versand (Hetzner, Scaleway)

(1) Zur Bereitstellung unserer Plattform setzen wir folgende Infrastruktur-Dienstleister ein, die als Auftragsverarbeiter im Sinne des Art. 28 DSGVO tätig werden. Mit jedem Anbieter wurde ein entsprechender Vertrag zur Auftragsverarbeitung abgeschlossen.

Für das Hosting der Applikationsserver (Next.js-Backend, API) nutzen wir Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland. Hetzner betreibt Rechenzentren ausschließlich in der EU (Deutschland, Finnland). Es findet keine Übermittlung in Drittländer statt.

Für Dateispeicherung und transaktionale E-Mails setzen wir Scaleway ein.

(2) Scaleway wird in folgenden Bereichen eingesetzt:

a) Objektspeicher (Object Storage / S3-kompatibel)

Zur Speicherung von durch Nutzer hochgeladenen Inhalten sowie generierten Dokumenten. Hierbei können insbesondere folgende Daten verarbeitet werden:

• Bilddateien von Shops (z. B. Fotos von Geschäftsräumen)
• Profilbilder von Mitarbeitern
• generierte Dokumente (z. B. Datenschutzbestimmungen oder AGB als PDF)

Im Rahmen des Uploads werden technische Metadaten wie Dateityp (Content-Type), Speicherpfad (S3-Key) und Bucket-Informationen verarbeitet. Die Speicherung erfolgt strukturiert nach internen Identifikatoren (z. B. Shop- oder Mitarbeiter-ID).

Die bereitgestellten Dateien können über öffentliche URLs abrufbar sein. Dabei wird sichergestellt, dass keine sensiblen personenbezogenen Daten Bestandteil von Dateinamen oder Metadaten sind.

b) Versand transaktionaler E-Mails

Zur Durchführung der Kommunikation mit Nutzern, insbesondere für:

• Kontoregistrierung und Kontoverwaltung (z. B. Willkommens-E-Mails, Passwort-Reset)
• Terminbezogene Kommunikation (z. B. Buchungsbestätigungen, Erinnerungen, Änderungen oder Stornierungen)
• systembezogene Benachrichtigungen (z. B. Kontoänderungen)

Im Rahmen des E-Mail-Versands werden insbesondere folgende personenbezogene Daten verarbeitet:

• E-Mail-Adresse des Empfängers
• ggf. Name des Empfängers
• termin- und dienstleistungsbezogene Informationen (z. B. gebuchte Leistung, Datum, Uhrzeit, Standort)

Die Inhalte der E-Mails werden ausschließlich zum Zweck der Kommunikation im Zusammenhang mit der Nutzung unserer Plattform verarbeitet. Sensible Daten wie Passwörter, vollständige Authentifizierungsdaten oder Zahlungsinformationen werden hierbei nicht übermittelt.

(3) Die Verarbeitung erfolgt ausschließlich zur Bereitstellung der oben genannten Funktionen und im Rahmen unserer vertraglichen Leistungen. Eine Nutzung der Daten durch Scaleway zu eigenen Zwecken erfolgt nicht.

(4) Die Datenverarbeitung erfolgt grundsätzlich innerhalb der Europäischen Union (insbesondere in Rechenzentren in Frankreich). Eine Übermittlung in Drittländer findet nur unter Einhaltung der Voraussetzungen der Art. 44 ff. DSGVO statt

15. Auftragsverarbeiter: Push-Benachrichtigungen (Firebase Cloud Messaging)

(1) Zur Zustellung von Push-Benachrichtigungen an mobile Endgeräte und Webbrowser verwenden wir den Dienst Firebase (Firebase Cloud Messaging, „FCM“), ein Angebot der Google.

(2) Firebase wird eingesetzt, um Nutzern system- und terminbezogene Benachrichtigungen bereitzustellen. Hierzu zählen insbesondere:

• Terminerinnerungen (zeitgesteuert vor dem Termin)
• Benachrichtigungen über Terminänderungen (z. B. Verschiebung oder Umbuchung)
• Benachrichtigungen über Terminabsagen

(3) Im Rahmen der Nutzung von Firebase werden folgende Daten verarbeitet:

• Gerätebezogene Push-Token (FCM-Registrierungstoken), die einem Nutzer und dessen Endgerät zugeordnet sind
• Inhaltsdaten der Benachrichtigung, insbesondere Titel und Nachrichtentext mit terminbezogenen Informationen (z. B. Datum, Uhrzeit, Dienstleistung)
• technische Zustellparameter (z. B. Prioritätseinstellungen für unterschiedliche Endgeräte)

Es werden keine direkten personenbezogenen Identifikatoren wie Name, E-Mail-Adresse oder Telefonnummer an Firebase übermittelt.

(4) Die Push-Token werden auf unseren Systemen gespeichert und bei Anmeldung eines Nutzers über die jeweilige Anwendung registriert. Zur Wahrung der Datensparsamkeit werden Token in Protokollen nur in gekürzter Form gespeichert.

(5) Firebase agiert im Hinblick auf die Zustellung von Push-Benachrichtigungen als Auftragsverarbeiter. Mit Google wurden entsprechende Vereinbarungen zur Auftragsverarbeitung gemäß Art. 28 DSGVO abgeschlossen.

(6) Eine Verarbeitung personenbezogener Daten kann auch in Drittländern, insbesondere in den USA, nicht ausgeschlossen werden. In diesen Fällen erfolgt die Übermittlung ausschließlich unter Einhaltung der Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage von Standardvertragsklauseln der Europäischen Kommission sowie ggf. weiterer geeigneter Garantien.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) — Push-Benachrichtigungen können von Nutzern jederzeit in den Einstellungen des Endgeräts oder der App deaktiviert werden. Für technisch notwendige systembezogene Benachrichtigungen gilt Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

16. Newsletter und Marketingkommunikation (geplant)

Wir planen, künftig Newsletter oder vergleichbare Informations-E-Mails an Salonbetreiber zu versenden (z.B. Produktupdates, Tipps zur Nutzung der Plattform).

Der Versand wird nur erfolgen:

• auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die wir im Rahmen eines Double-Opt‑In-Verfahrens einholen (d.h. Sie bestätigen Ihre Anmeldung über einen Bestätigungslink), oder
• soweit dies gesetzlich erlaubt ist (z.B. § 7 Abs. 3 UWG für bestehende Kunden)

Welche konkreten Newsletter-Dienstleister eingesetzt werden und wie lange die Daten gespeichert werden, werden wir ergänzen, sobald ein entsprechender Dienst tatsächlich genutzt wird

17. Weitergabe von Daten

Wir geben personenbezogene Daten nur in folgenden Fällen weiter:

• an von uns eingesetzte Auftragsverarbeiter (z.B. Hosting, SMS-Versand, Analyse, E‑Mail- und Zahlungsdienstleister), die vertraglich zur Einhaltung der DSGVO verpflichtet sind
• an Salons, bei denen Endkunden Termine buchen (Übermittlung der Buchungsdaten)
• an Zahlungsdienstleister (z.B. Stripe), soweit erforderlich für die Zahlungsabwicklung
• an Behörden oder sonstige Dritte, wenn wir hierzu gesetzlich verpflichtet sind
• wenn Sie ausdrücklich eingewilligt haben

Eine weitergehende Weitergabe an Dritte erfolgt nicht

18. Speicherdauer

(1) Wir speichern personenbezogene Daten grundsätzlich nur so lange, wie dies für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen.

(2) Für Daten im Rahmen des SaaS-Vertrags gilt:

• Während der Vertragslaufzeit: Speicherung der für die Vertragserfüllung erforderlichen Daten
• Nach Vertragsende: Speicherung der Daten des Salons für einen Zeitraum von 90 Tagen, um einen Export zu ermöglichen
• Nach Ablauf der 90 Tage: Anonymisierung oder Löschung der personenbezogenen Daten, soweit keine gesetzlichen Aufbewahrungspflichten bestehen

(3) Logdaten werden in der Regel nach 14 Tagen gelöscht, sofern keine längere Aufbewahrung zur Aufklärung von Sicherheitsvorfällen erforderlich ist.

(4) Gesetzliche Aufbewahrungspflichten (z.B. handels- und steuerrechtliche Pflichten) können zu einer Speicherung von bis zu 10 Jahren führen

19. Rechte der betroffenen Personen

Betroffenen Personen stehen – unter den gesetzlichen Voraussetzungen – insbesondere folgende Rechte zu:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Recht auf Widerspruch (Art. 21 DSGVO), insbesondere gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO
• Recht auf Widerruf von Einwilligungen (Art. 7 Abs. 3 DSGVO) mit Wirkung für die Zukunft

Zur Ausübung dieser Rechte können Sie uns per E-Mail an support@calendoora.de oder über die im Abschnitt „Verantwortlicher und Datenschutzkontakt" genannten Kontaktdaten kontaktieren.

Wenn Sie Endkunde eines Salons sind, wenden Sie sich bitte in der Regel zunächst an den jeweiligen Salon, der Ihre Daten im Zusammenhang mit der Dienstleistung verarbeitet

20. Beschwerderecht bei einer Aufsichtsbehörde

Sie haben das Recht, sich bei einer zuständigen Datenschutzaufsichtsbehörde zu beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen Datenschutzrecht verstößt.

Zuständig ist insbesondere die Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes.

21. Datensicherheit

Wir setzen technische und organisatorische Maßnahmen ein, um personenbezogene Daten vor Verlust, Zerstörung, Manipulation und unbefugtem Zugriff zu schützen. Dazu gehören insbesondere:

• verschlüsselte Datenübertragung (HTTPS/TLS)
• Zugriffsbeschränkungen und Rollen-/Rechtesysteme
• eine gesicherte Serverinfrastruktur (Applikationsserver: Hetzner und netcup; Datenbank: Supabase; Dateispeicherung und E-Mail: Scaleway)
• regelmäßige Sicherheitsupdates und Patches
• Backups und Monitoring der Systeme
• interne Richtlinien und Schulungen

Trotz aller Maßnahmen kann ein absoluter Schutz nicht garantiert werden

22. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, wenn sich rechtliche oder technische Rahmenbedingungen ändern oder neue Funktionen eingeführt werden.

Die jeweils aktuelle Version ist jederzeit auf unserer Website und ggf. in der App abrufbar.