Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und anderer nationaler Datenschutzgesetze ist:

Complete-Digital (Dennis Friesen)
Ringstraße 36, 32423 Minden, Deutschland
E-Mail: info@complete-digital.de

2. Geltungsbereich

Diese Datenschutzerklärung informiert über die Verarbeitung personenbezogener Daten bei Nutzung der Software-as-a-Service-Plattform BeautyFlow (Web-Anwendung und native App), einschließlich Registrierung, Login, Abonnementverwaltung und technischer Bereitstellung. Sie gilt nicht für Datenverarbeitungen, die Salonbetreiber (unsere Kunden) im Rahmen ihrer eigenen Geschäftstätigkeit gegenüber ihren Endkunden durchführen; hierfür sind die Salonbetreiber eigenständig verantwortlich.

2a. Öffentliche Terminbuchung (Endkunden von Salons)

Wenn Sie über eine von einem Salon bereitgestellte Online-Buchungsseite einen Termin vereinbaren, gilt Folgendes:

Verantwortliche Stellen

• Salonbetreiber (Verantwortlicher): Für die Durchführung der gebuchten Leistung, die Kundenbeziehung und die vom Salon hinterlegten rechtlichen Texte (z. B. Salon-AGB, Salon-Datenschutzhinweise, Salon-Impressum) ist ausschließlich der jeweilige Salonbetreiber verantwortlich.
• Complete-Digital (Auftragsverarbeiter): Wir stellen die Buchungstechnologie bereit und verarbeiten die von Ihnen eingegebenen Daten im Auftrag des Salonbetreibers gemäß Art. 28 DSGVO, soweit dies für die Terminvereinbarung erforderlich ist.

Verarbeitete Daten bei der Terminbuchung

Je nach Konfiguration des Salons können u. a. folgende Daten verarbeitet werden:

• Name, E-Mail-Adresse, Telefonnummer
• Gewählte Leistung, Terminzeitpunkt, optional gewählter Mitarbeiter
• Optionale Anmerkungen des Kunden
• Technische Verbindungsdaten (z. B. IP-Adresse, Zeitpunkt der Buchung, Browser-/Geräteinformationen) zum Betrieb und zur Absicherung der Buchungsseite
• Einwilligungen und Bestätigungen (z. B. Zustimmung zu Salon-AGB oder Datenschutzhinweisen), sofern der Salon diese abfragt

Zwecke und Rechtsgrundlagen

• Terminvereinbarung und Kommunikation (Art. 6 Abs. 1 lit. b DSGVO im Auftrag des Salons): Speicherung und Übermittlung der Buchungsdaten an den Salon, Versand von Buchungsbestätigungen und Erinnerungen per E-Mail über unseren Dienstleister Resend (siehe Abschnitt 9.4).
• Sicherheit und Missbrauchsprävention (Art. 6 Abs. 1 lit. f DSGVO): Schutz der Buchungsinfrastruktur, Rate Limiting, Protokollierung sicherheitsrelevanter Vorgänge.
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Soweit der Salon eine ausdrückliche Zustimmung zu seinen rechtlichen Hinweisen einholt.

Speicherdauer

Buchungsdaten werden im Auftrag des Salonbetreibers gespeichert. Die Löschfristen richten sich nach den Vorgaben und der Geschäftstätigkeit des jeweiligen Salons sowie nach gesetzlichen Aufbewahrungspflichten des Salonbetreibers. Nach Beendigung des Nutzungsvertrags mit einem Salon werden die zugehörigen Daten bei uns nach Ablauf vertraglicher und gesetzlicher Fristen gelöscht, sofern keine berechtigten Aufbewahrungsgründe entgegenstehen.

Ihre Rechte als Endkunde eines Salons

Wenden Sie sich für Auskunft, Berichtigung, Löschung oder andere Betroffenenrechte in erster Linie an den Salon, bei dem Sie den Termin gebucht haben. Wir unterstützen Salonbetreiber als Auftragsverarbeiter bei der Bearbeitung solcher Anfragen, soweit dies vertraglich vereinbart ist. Zusätzlich können Sie sich an uns wenden unter info@complete-digital.de, wenn es um die technische Verarbeitung über BeautyFlow geht.

3. Kategorien betroffener Personen und Daten

3.1 Salonbetreiber und Mitarbeiter (Nutzerkonten)

• Stammdaten: Name, E-Mail-Adresse, Salon-/Unternehmensdaten, Adresse, Telefon
• Authentifizierungsdaten: Passwort-Hash, Sitzungs- und Sicherheitstoken
• Nutzungs- und Protokolldaten: Login-Zeitpunkte, IP-Adresse, Geräte-/Browserinformationen
• Abonnement- und Zahlungsbezugsdaten (über Stripe; keine vollständigen Kartendaten bei uns)
• Optionale Einstellungen: Logo, Branding, Öffnungszeiten, Benachrichtigungseinstellungen

3.2 Von Salonbetreibern eingegebene Daten (Auftragsverarbeitung)

Salonbetreiber können über BeautyFlow personenbezogene Daten ihrer Kunden, Mitarbeiter und Termine verarbeiten (z. B. Kontaktdaten, Terminhistorie, Formularantworten, Einwilligungen, Behandlungsdokumentation, Allergieangaben). Wir verarbeiten diese Daten im Auftrag des jeweiligen Salonbetreibers gemäß Art. 28 DSGVO auf Basis des mit dem Salonbetreiber geschlossenen Nutzungsvertrags.

4. Zwecke und Rechtsgrundlagen

• Bereitstellung der Plattform, Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Registrierung, Authentifizierung, Mandantenfähigkeit, Speicherung von Salon- und Geschäftsdaten, Bereitstellung von Kalender, Kundenverwaltung, Formularen, Online-Buchung, Behandlungsdokumentation, Arbeitszeiterfassung und Push-Benachrichtigungen.
• Abrechnung und Zahlungsabwicklung (Art. 6 Abs. 1 lit. b DSGVO): Verwaltung von Testphasen, Abonnements und Rechnungsstellung über Stripe.
• Kommunikation (Art. 6 Abs. 1 lit. b und f DSGVO): System-E-Mails (z. B. Buchungsbestätigungen, Formularlinks, Erinnerungen), soweit der Salonbetreiber diese Funktionen nutzt; technische und sicherheitsrelevante Mitteilungen an Nutzer.
• Sicherheit und Betrieb (Art. 6 Abs. 1 lit. f DSGVO): Schutz vor Missbrauch, Fehleranalyse, Rate Limiting, Backups, Verfügbarkeit der Infrastruktur.
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Push-Benachrichtigungen im Browser oder in der nativen App, sofern der Nutzer ausdrücklich zustimmt; freiwillige Marketing-Kommunikation, falls angeboten und angenommen.
• Rechtliche Verpflichtungen (Art. 6 Abs. 1 lit. c DSGVO): Aufbewahrung steuer- und handelsrechtlich relevanter Unterlagen.

5. E-Mail-Versand (Resend)

Transaktionale E-Mails werden über Resend versendet. Details zum Anbieter, verarbeiteten Daten und Rechtsgrundlagen finden Sie in Abschnitt 9.4. Als Antwort-Adresse (Reply-To) kann der Salonbetreiber eine eigene Kontakt-E-Mail hinterlegen.

6. Push-Benachrichtigungen (nur native App)

Push-Mitteilungen werden ausschließlich in der BeautyFlow App für iOS und Android über Firebase Cloud Messaging (FCM) bereitgestellt — nicht im Browser. Details finden Sie in Abschnitt 9.6. Die Aktivierung erfolgt nur nach ausdrücklicher Einwilligung in der App.

7. Künstliche Intelligenz (OpenAI, optional)

Die optionale KI-Funktion zur Formular-Extraktion nutzt OpenAI. Details finden Sie in Abschnitt 9.7. Der Salonbetreiber ist für die Zulässigkeit hochgeladener Inhalte verantwortlich.

8. Cookies und lokale Speicherung

Wir verwenden technisch notwendige Cookies bzw. vergleichbare Technologien, insbesondere zur Authentifizierung über Supabase Auth (siehe Abschnitt 9.1), Sitzungsverwaltung und Sicherheit. Diese sind für den Betrieb der Anwendung erforderlich. Optionale lokale Speicherung (z. B. Mitarbeiter-PIN-Sperre in der App) dient der Nutzerfreundlichkeit auf dem jeweiligen Gerät.

Auf der Web-Anwendung und den öffentlichen Online-Buchungsseiten setzen wir Cookiebot (siehe Abschnitt 9.5) ein, um Einwilligungen für nicht zwingend erforderliche Cookies und ähnliche Technologien einzuholen, zu dokumentieren und optional blockierte Inhalte erst nach Zustimmung zu laden. In der nativen App (iOS/Android über Capacitor) wird Cookiebot nicht eingesetzt.

Über den Cookie-Banner bzw. in den Kontoeinstellungen unter „Rechtliches“ → „Cookie-Einstellungen öffnen“ können registrierte Nutzer ihre Einwilligung jederzeit widerrufen oder anpassen. Welche Kategorien konkret angeboten werden, ergibt sich aus der Cookiebot-Konfiguration und dem Banner zum Zeitpunkt Ihres Besuchs.

Schriftarten der Web-Oberfläche (Inter) werden von unserem Hosting ausgeliefert; es erfolgt kein Abruf von Schriftarten über Google Fonts oder vergleichbare Drittanbieter.

9. Empfänger und Auftragsverarbeiter

Zur Bereitstellung von BeautyFlow setzen wir spezialisierte Dienstleister ein. Soweit diese personenbezogene Daten in unserem Auftrag verarbeiten, erfolgt dies auf Grundlage von Auftragsverarbeitungsverträgen gemäß Art. 28 DSGVO bzw. den von den Anbietern bereitgestellten Datenverarbeitungsbedingungen.

9.1 Supabase (Datenbank, Authentifizierung, Dateispeicher)

Anbieter: Supabase, Inc., 970 Toa Payoh North #07-04, Singapore 318992
Website: supabase.com · Datenschutz: supabase.com/privacy

Eingesetzte Leistungen: PostgreSQL-Datenbank, Benutzerauthentifizierung (Supabase Auth), Speicherung hochgeladener Dateien (z. B. Logos, Formularanhänge, Unterschriften, Behandlungsdokumentationen), Row-Level-Security für mandantenfähige Datentrennung.

Verarbeitete Daten (Auswahl): Nutzerkonten, Salon-Stammdaten, Kunden- und Termindaten, Formularantworten, Mitarbeiterdaten, Abonnement-Metadaten, Sitzungstoken, hochgeladene Medien und Dokumente.

Zweck: Zentrale Speicherung und Bereitstellung aller Anwendungsdaten, Authentifizierung und Autorisierung, sichere Mandantentrennung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung); für Salon-Endkundendaten zusätzlich Art. 28 DSGVO (Auftragsverarbeitung zugunsten des Salonbetreibers).

Speicherort: Die Datenbank und der Dateispeicher werden in einer von uns konfigurierten Region betrieben (in der Regel innerhalb der Europäischen Union). Details zur gewählten Region können auf Anfrage mitgeteilt werden.

9.2 Vercel (Hosting, Anwendungsbetrieb, CDN)

Anbieter: Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA
Website: vercel.com · Datenschutz: vercel.com/legal/privacy-policy

Eingesetzte Leistungen: Hosting der Webanwendung, Ausführung serverseitiger API-Routen und Hintergrundfunktionen (Serverless Functions), Content Delivery Network (CDN), TLS-Verschlüsselung, Deployment-Infrastruktur, technische Protokollierung.

Verarbeitete Daten (Auswahl): IP-Adresse, Zeitstempel, aufgerufene URLs, Request-Header, Geräte- und Browserinformationen, Fehler- und Performance-Logs, soweit für Betrieb und Sicherheit erforderlich; Inhalte von API-Anfragen während der Verarbeitung im Arbeitsspeicher.

Zweck: Bereitstellung, Skalierung und Absicherung der BeautyFlow-Anwendung; Auslieferung statischer Assets; Ausführung von Backend-Logik (z. B. E-Mail-Versand, Zahlungs-Callbacks, Formularverarbeitung).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und lit. f DSGVO (berechtigtes Interesse an sicherem und performantem Betrieb).

Drittlandübermittlung: Vercel kann Daten auch in den USA verarbeiten. Die Übermittlung erfolgt auf Grundlage von EU-Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO sowie ergänzender technischer und organisatorischer Maßnahmen des Anbieters.

9.3 Stripe (Zahlungs- und Abonnementabwicklung)

Anbieter: Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland (für europäische Zahlungen); Stripe, Inc., USA
Website: stripe.com · Datenschutz: stripe.com/de/privacy

Eingesetzte Leistungen: Abonnementverwaltung, Zahlungsabwicklung, Kundenportal für Rechnungen und Zahlungsmethoden, Webhooks zur Statusaktualisierung.

Verarbeitete Daten (Auswahl): Name, E-Mail-Adresse, Zahlungsstatus, Abonnement- und Rechnungsdaten, Transaktions-IDs; Zahlungskartendaten werden direkt bei Stripe erfasst und nicht vollständig auf unseren Servern gespeichert.

Zweck: Entgeltliche Abonnements, Testphasen, Rechnungsstellung und Zahlungsabwicklung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

9.4 Resend (transaktionaler E-Mail-Versand)

Anbieter: Resend, Inc., USA
Website: resend.com · Datenschutz: resend.com/legal/privacy-policy

Eingesetzte Leistungen: Versand systemgenerierter E-Mails im Auftrag des Salonbetreibers (z. B. Formulareinladungen, Buchungsbestätigungen, Terminerinnerungen, Formular-Kopien).

Verarbeitete Daten (Auswahl): Empfänger-E-Mail-Adresse, Absenderbezeichnung, Reply-To-Adresse des Salons, Betreff, HTML-Inhalt der Nachricht, technische Versandprotokolle.

Zweck: Zuverlässiger Versand transaktionaler Kundenkommunikation.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und lit. f DSGVO (Kommunikation im Rahmen des Salonbetriebs).

Drittlandübermittlung: Soweit erforderlich, Übermittlung in die USA auf Basis von EU-Standardvertragsklauseln.

9.5 Cookiebot (Einwilligungsmanagement für Cookies)

Anbieter: Usercentrics A/S, Havnegade 39, 1058 Kopenhagen, Dänemark (Marke: Cookiebot)
Website: cookiebot.com · Datenschutz: cookiebot.com/de/privacy-policy

Eingesetzte Leistungen: Cookie-Consent-Banner, Speicherung und Verwaltung von Einwilligungen, Kategorisierung von Cookies/Skripten, automatisches Blockieren nicht freigegebener Technologien bis zur Zustimmung (soweit konfiguriert).

Geltungsbereich: Web-Anwendung und öffentliche Online-Buchungsseiten; nicht in der nativen iOS-/Android-App.

Verarbeitete Daten (Auswahl): IP-Adresse (gekürzt, soweit vom Anbieter vorgesehen), Einwilligungsstatus, Zeitstempel der Einwilligung, Cookie-IDs, Browser- und Geräteinformationen, aufgerufene Domain/URL.

Zweck: Erfüllung gesetzlicher Einwilligungspflichten (Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 25 TDDDG), Nachweis und Verwaltung von Cookie-Einwilligungen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung) für das Consent-Management; für optionale Cookies und Tracking-Technologien Art. 6 Abs. 1 lit. a DSGVO (Einwilligung über den Banner).

9.6 Google Firebase (Push-Benachrichtigungen, native App)

Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland
Website: firebase.google.com · Datenschutz: policies.google.com/privacy

Eingesetzte Leistungen: Firebase Cloud Messaging (FCM) für Push-Benachrichtigungen ausschließlich in der nativen BeautyFlow App (iOS/Android). Im Browser werden keine Push-Nachrichten versendet.

Verarbeitete Daten (Auswahl): Geräte-Token, Plattform (iOS/Android/Web), Benachrichtigungstitel und -inhalt, Zustellstatus, Nutzerpräferenzen zu Benachrichtigungen.

Zweck: Zusendung von Push-Mitteilungen über Termine, Formulare, Abwesenheiten und andere relevante Ereignisse — nur nach ausdrücklicher Einwilligung des Nutzers.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung); Widerruf jederzeit in den Geräte- oder App-Einstellungen möglich.

9.7 OpenAI (optionale KI-Funktionen)

Anbieter: OpenAI, L.L.C., USA
Website: openai.com · Datenschutz: openai.com/policies/privacy-policy

Eingesetzte Leistungen: KI-gestützte Extraktion von Formularfeldern aus hochgeladenen PDF- oder Bilddateien — nur wenn der Salonbetreiber diese Funktion aktiv nutzt.

Verarbeitete Daten: Inhalt der vom Salonbetreiber hochgeladenen Dokumente (kann personenbezogene Daten enthalten, sofern der Salonbetreiber solche Dokumente hochlädt).

Zweck: Unterstützung bei der Erstellung digitaler Formularvorlagen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Nutzung der Plattform durch den Salonbetreiber); der Salonbetreiber ist für die Zulässigkeit der übermittelten Inhalte verantwortlich.

Drittlandübermittlung: Verarbeitung u. a. in den USA; Übermittlung auf Basis geeigneter Garantien (z. B. EU-Standardvertragsklauseln), soweit vom Anbieter bereitgestellt.

9.8 Weitere technische Dienste

Je nach Nutzung können ergänzend folgende Kategorien zum Einsatz kommen: DNS- und Domain-Dienstleister, Zertifikatsanbieter (TLS), Fehlerüberwachung und Schutz vor automatisiertem Missbrauch (Rate Limiting in der Anwendung). Diese Dienste verarbeiten in der Regel nur technisch notwendige Verbindungsdaten.

Mit allen genannten Auftragsverarbeitern werden die jeweils erforderlichen vertraglichen Regelungen zur Datenverarbeitung abgeschlossen. Eine aktuelle Liste der eingesetzten Unterauftragsverarbeiter kann auf Anfrage an info@complete-digital.de bereitgestellt werden, soweit uns dies möglich ist.

10. Drittlandübermittlung

Soweit die in Abschnitt 9 genannten Dienstleister Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten (insbesondere in den USA), erfolgt die Übermittlung auf Grundlage geeigneter Garantien, insbesondere EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) und/oder Angemessenheitsbeschlüsse, sofern vorhanden. Betroffen sind insbesondere Vercel, Resend und — bei Nutzung der jeweiligen Funktion — OpenAI sowie Teile der Infrastruktur von Supabase und Stripe.

Kopien der einschlägigen Garantien oder weitergehende Informationen können auf Anfrage an info@complete-digital.de bereitgestellt werden, soweit uns dies möglich ist.

11. Speicherdauer

• Nutzerkonten und Salon-Daten: für die Dauer des Nutzungsvertrags
• Nach Vertragsende: Löschung oder Anonymisierung innerhalb angemessener Frist, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen
• Server- und Sicherheitsprotokolle: in der Regel maximal 90 Tage, sofern nicht längere Aufbewahrung zur Beweissicherung erforderlich ist
• Abrechnungsunterlagen: gemäß handels- und steuerrechtlichen Vorgaben (in der Regel bis zu 10 Jahre)

12. Ihre Rechte

Sie haben gegenüber uns folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitung auf Basis berechtigter Interessen (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO) mit Wirkung für die Zukunft

Zur Ausübung Ihrer Rechte genügt eine Nachricht an info@complete-digital.de. Wir werden Anfragen unverzüglich, spätestens innerhalb eines Monats, bearbeiten.

Hinweis für Endkunden von Salons: Wenn Sie Kunde eines Salonbetreibers sind und dessen Daten betroffen sind, wenden Sie sich primär an den jeweiligen Salon. Wir unterstützen Salonbetreiber als Auftragsverarbeiter bei der Erfüllung von Betroffenenanfragen, soweit vertraglich vereinbart.

13. Beschwerderecht bei einer Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Zuständig in Nordrhein-Westfalen ist u. a. die Landesbeauftragte für Datenschutz und Informationsfreiheit NRW (LDI NRW).

14. Pflicht zur Bereitstellung von Daten

Die Bereitstellung bestimmter Daten ist für den Abschluss und die Durchführung des Nutzungsvertrags erforderlich. Ohne Registrierungsdaten kann kein Zugang zu BeautyFlow eingerichtet werden. Eine gesetzliche Verpflichtung zur Bereitstellung besteht im Übrigen nicht.

15. Automatisierte Entscheidungsfindung

Eine ausschließlich auf einer automatisierten Verarbeitung — einschließlich Profiling — beruhende Entscheidung mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung findet nicht statt.

16. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, wenn sich Rechtslage, angebotene Funktionen oder eingesetzte Dienstleister ändern. Die jeweils aktuelle Fassung ist unter dieser URL abrufbar. Bei wesentlichen Änderungen informieren wir registrierte Nutzer in geeigneter Form.