Datenschutzerklärung

1. Verantwortliche Stelle

Melissa Canan Demir (Glow-Up Kassel)
Frankfurter Straße 77, 34121 Kassel
Telefon: +49 173 3541228
E-Mail: Glowupkassel@outlook.de

Ein gesonderter Datenschutzbeauftragter ist gesetzlich nicht zu bestellen, da nicht in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 Abs. 1 BDSG). Für Anliegen zum Datenschutz wenden Sie sich bitte direkt an die oben genannte Kontaktadresse.

2. Erhobene Daten

Wir erheben personenbezogene Daten nur, soweit dies für die jeweilige Nutzung erforderlich ist:

• Terminbuchung: Name, Telefon, E-Mail-Adresse, gewünschte Leistung, Wunschtermin. Rechtsgrundlage: Anbahnung bzw. Erfüllung des Behandlungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).
• Shop-Bestellung: Name, Lieferadresse, E-Mail-Adresse, ggf. Telefonnummer sowie die zur Zahlungsabwicklung nötigen Daten (verarbeitet direkt durch Stripe bzw. PayPal, siehe Punkt 3). Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO); die Aufbewahrung von Bestelldaten über das Vertragsende hinaus erfolgt zur Erfüllung handels- und steuerrechtlicher Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c DSGVO, siehe Punkt 7).
• Kontaktformular: Name, E-Mail-Adresse, Nachrichteninhalt. Rechtsgrundlage: berechtigtes Interesse an der Beantwortung Ihrer Anfrage (Art. 6 Abs. 1 lit. f DSGVO) bzw. Vertragsanbahnung, sofern sich die Anfrage auf einen möglichen Vertragsschluss bezieht (lit. b).
• Partnersalon-Anfrage (Gewerbe): Name, Salon-/Firmenname, Gewerbeschein-Nummer, Telefonnummer, bevorzugter Kontaktweg und ggf. Nachrichteninhalt. Rechtsgrundlage: Vertragsanbahnung (Art. 6 Abs. 1 lit. b DSGVO); die Gewerbeschein-Nummer dient ausschließlich der Prüfung, dass eine gewerbliche Anfrage vorliegt.
• Widerrufsformular: Name, Bestell-/Vertragsnummer, E-Mail-Adresse. Diese Angaben werden ausschließlich zur Bearbeitung Ihres Widerrufs und zum Versand der gesetzlich vorgeschriebenen Eingangsbestätigung verwendet. Rechtsgrundlage: Erfüllung einer rechtlichen Verpflichtung nach § 356a BGB (Art. 6 Abs. 1 lit. c DSGVO) bzw. Vertragsabwicklung (Art. 6 Abs. 1 lit. b DSGVO).
• Termin- und Bestell-E-Mails: Im Rahmen einer Buchung oder Bestellung versenden wir automatisiert Bestätigungen, Terminerinnerungen (24 und 3 Stunden vor dem Termin), Bestellbestätigungen mit Rechnung sowie ggf. Hinweise zu Ausfallhonoraren gemäß unseren Stornobedingungen. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
• Bewertungsanfrage und Erinnerungs-E-Mails an Bestandskundinnen: Nach einem wahrgenommenen Termin bitten wir einmalig per E-Mail um eine Bewertung; nach längerer Zeit ohne Folgetermin erinnern wir einmalig an uns. Diese E-Mails versenden wir ausschließlich, wenn Sie im Buchungsformular separat und freiwillig zugestimmt haben. Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 UWG). Sie können diese Einwilligung jederzeit formlos widerrufen (z. B. durch kurze Antwort auf die jeweilige E-Mail), ohne dass hierfür andere als die Übermittlungskosten nach den Basistarifen entstehen.
• Warenkorb-Erinnerung: E-Mail-Adresse, ausschließlich bei freiwilliger Angabe durch Sie im Warenkorb. Verwendung ausschließlich für eine einmalige Erinnerung an den nicht abgeschlossenen Kauf, keine weitere Nutzung. Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), jederzeit durch Nichtnutzung bzw. formlose Nachricht an uns widerrufbar.
• Benachrichtigung „wieder verfügbar" (Shop):E-Mail-Adresse, ausschließlich bei freiwilliger Angabe durch Sie zu einem bestimmten Produkt. Verwendung ausschließlich für die einmalige Benachrichtigung zu genau diesem Produkt; die Adresse wird danach automatisch aus der Warteliste entfernt. Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).
• Server-Logfiles: IP-Adresse, Datum/Uhrzeit des Zugriffs, aufgerufene Seite, Browsertyp — automatisch beim Seitenaufruf. Rechtsgrundlage: berechtigtes Interesse an einem sicheren und stabilen Betrieb der Website (Art. 6 Abs. 1 lit. f DSGVO).
• Missbrauchsschutz (Rate-Limiting): Bei der Buchungs- und Kontaktanfrage sowie beim Admin-Login speichern wir die IP-Adresse für einen kurzen Zeitraum (bis zu 15 Minuten), um automatisierte Anfragen und Brute-Force-Versuche zu erkennen und zu blockieren. Rechtsgrundlage: berechtigtes Interesse an der Sicherheit unserer Systeme (Art. 6 Abs. 1 lit. f DSGVO).

3. Verwendete Drittanbieter

Zur Erbringung unserer Leistungen setzen wir folgende Dienstleister ein, die als Auftragsverarbeiter bzw. eigenverantwortliche Anbieter personenbezogene Daten verarbeiten:

• Stripe (Zahlungsabwicklung im Shop) — Stripe Payments Europe, Ltd.
• PayPal (Zahlungsabwicklung im Shop) — PayPal (Europe) S.à r.l. et Cie, S.C.A.
• Resend (Versand von Terminbestätigungen, Erinnerungen und Bestellbestätigungen per E-Mail).
• Vercel (Hosting dieser Website) — Vercel Inc.
• Vercel Analytics & Speed Insights (anonyme Besuchs- und Ladezeit-Statistik) — Vercel Inc. Arbeitet cookielos, ohne persistente Identifier und ohne Zugriff auf Endgeräte-Informationen; eine Einwilligung ist daher nicht erforderlich (§ 25 TDDDG greift nicht). Rechtsgrundlage: berechtigtes Interesse an der technischen Optimierung der Website (Art. 6 Abs. 1 lit. f DSGVO).
• Upstash (Datenbank für Buchungs-, Bestell- und Formulardaten, angebunden über Vercel) — Upstash Inc.
• Google Maps (Kartenanzeige auf der Kontaktseite) — Google Ireland Ltd.; die Karte wird erst nach Ihrer aktiven Zustimmung über das Einwilligungs-Overlay geladen. Erst dann werden Daten (u. a. Ihre IP-Adresse) an Google übertragen.

Mit den eingesetzten Auftragsverarbeitern bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO (bei den meisten Anbietern über deren Standard-Auftragsverarbeitungs­ vereinbarung, die im jeweiligen Kundenkonto akzeptiert wird). Einzelne Anbieter (u. a. Stripe, Vercel) haben Konzerngesellschaften außerhalb der EU (insbesondere USA). Soweit dabei Daten in ein Drittland übermittelt werden, erfolgt dies auf Grundlage der EU-Standardvertragsklauseln bzw. eines Angemessenheitsbeschlusses der EU-Kommission, wie vom jeweiligen Anbieter in seiner eigenen Datenschutzerklärung beschrieben.

3a. Kontaktaufnahme per WhatsApp

Wenn Sie über den WhatsApp-Button oder -Link auf dieser Website Kontakt aufnehmen, verlassen Sie unsere Website und kommunizieren direkt über WhatsApp (Anbieter: WhatsApp Ireland Limited, ein Unternehmen der Meta-Gruppe). Dabei gilt die Datenschutzerklärung von WhatsApp/Meta; wir haben auf die dortige Datenverarbeitung keinen Einfluss. Über unsere eigene Website selbst werden bei einem reinen Link-Klick keine Daten an WhatsApp übertragen.

4. Cookies und lokale Speicherung

Für den Warenkorb und Ihre Cookie-Auswahl selbst setzen wir technisch keine klassischen Cookies, sondern speichern die Angaben ausschließlich lokal in Ihrem Browser („localStorage") — es werden dabei keine Daten an unsere Server übertragen. Dies ist ohne Einwilligung zulässig, da es sich um technisch notwendige Funktionen handelt (§ 25 Abs. 2 Nr. 2 TTDSG). Der eingebettete Kartenausschnitt (Google Maps) auf der Kontaktseite setzt hingegen echte Cookies von Google und wird erst nach Ihrer aktiven Einwilligung über das Cookie-Banner geladen. Marketing-Cookies sind aktuell nicht im Einsatz; die entsprechende Kategorie im Banner ist für künftige Tools reserviert und würde erst nach Aktivierung tatsächlich Cookies setzen. Ihre Einwilligung können Sie jederzeit mit Wirkung für die Zukunft über den Link „Cookie-Einstellungen" im Seitenfuß widerrufen.

5. Datensicherheit

Wir setzen technische und organisatorische Maßnahmen ein, um Ihre Daten gegen zufällige oder vorsätzliche Manipulation, Verlust, Zerstörung oder unberechtigten Zugriff zu schützen (Art. 32 DSGVO):

• Verschlüsselte Übertragung dieser Website ausschließlich per HTTPS/TLS.
• Zugangsdaten zu Zahlungsdienstleistern und weiteren Diensten werden verschlüsselt bei unserem Hosting-Anbieter (Vercel) hinterlegt, nicht im Quellcode.
• Der interne Admin-Bereich ist passwortgeschützt und sperrt sich nach mehreren Fehlversuchen automatisch für 15 Minuten.
• Automatisierte Anfragen an Formulare (Buchung, Kontakt, Partnersalon, Newsletter-artige Anmeldungen) werden durch Rate-Limiting und einen Spam-Filter (Honeypot) begrenzt.
• Die Datenbank läuft verschlüsselt (TLS) beim Anbieter Upstash, siehe Punkt 3.

6. Rechte der Betroffenen

Ihnen stehen bezüglich Ihrer bei uns gespeicherten personenbezogenen Daten folgende Rechte zu: Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO), Datenübertragbarkeit (Art. 20 DSGVO) sowie Widerspruch gegen die Verarbeitung (Art. 21 DSGVO). Wenden Sie sich dazu an die oben genannte Kontaktadresse.

Außerdem haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren — zuständig ist z. B. der Hessische Beauftragte für Datenschutz und Informationsfreiheit.

7. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungsfristen (insbesondere handels- und steuerrechtliche Fristen von bis zu 10 Jahren für Rechnungs-/Buchungsunterlagen) dies vorschreiben. Anfrage- und Kontaktdaten ohne Vertragsabschluss löschen wir spätestens 12 Monate nach dem letzten Kontakt, sofern keine längere Aufbewahrung gesetzlich vorgeschrieben ist.