Datenschutzerklärung

Stand: 1. Juli 2026

Maßgeblich ist ausschließlich die deutsche Fassung dieser Datenschutzerklärung. Übersetzungen werden nur zur besseren Verständlichkeit bereitgestellt; bei Abweichungen oder Auslegungsfragen ist die deutsche Fassung verbindlich.

1. Verantwortliche (gemeinsame Verantwortlichkeit, Art. 26 DSGVO)

Für die Verarbeitung personenbezogener Daten auf dieser Website sind zwei Unternehmen gemeinsam Verantwortliche im Sinne von Art. 26 DSGVO:

Apropos Haare GmbH — Mönchhofstr. 3b (Ecke Lutherstraße), 69120 Heidelberg · GF: Andrea Sladek und Stefanie Mohr · Amtsgericht Mannheim, HRB 724439

Apropos Haare Mannheim GmbH — Tattersallstraße 41, 68165 Mannheim · GF: Mathias Gramlich · Amtsgericht Mannheim, HRB 728061

Die Apropos Haare GmbH betreibt diese Website; beide Unternehmen sind hinsichtlich der hierüber erhobenen Daten gemeinsam Verantwortliche und haben Zugriff darauf. In einer Vereinbarung nach Art. 26 Abs. 1 DSGVO wurde festgelegt, wer welche DSGVO-Pflichten erfüllt. Das Wesentliche: Die Apropos Haare GmbH ist primäre Anlaufstelle für Betroffenenrechte; Anfragen können wahlweise an beide Unternehmen über die gemeinsame Kontaktadresse gerichtet werden. Die interne Aufgabenverteilung lässt Ihre Rechte unberührt — Sie können diese gegenüber jedem der beiden Verantwortlichen geltend machen.

Gemeinsame Datenschutz-Kontaktstelle: datenschutz@aproposhaare.de

Es wurde kein Datenschutzbeauftragter bestellt (§ 38 Abs. 1 BDSG; Art. 37 DSGVO).

2. Arten der verarbeiteten Daten

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) erheben wir grundsätzlich nicht aktiv. Ausnahme: Im Rahmen der digitalen Behandlungsdokumentation (Abschnitt 18) können Verträglichkeits-Hinweise gesundheitsbezogener Natur erfasst werden — ausschließlich mit Ihrer ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO) per dokumentiertem Bestätigungs-Tap. Geben Sie darüber hinaus freiwillig im Anmerkungsfeld einer Buchung gesundheitsbezogene Hinweise an (z.B. Allergien), verarbeiten wir diese ebenfalls nur auf Grundlage Ihrer ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO); bitte teilen Sie solche Angaben nur mit, soweit Sie dies wünschen. Die Bezahlung Ihrer Dienstleistung erfolgt im Salon vor Ort und ist nicht Teil dieses Onlineangebots.

  • Bestandsdaten (z.B. Name)
  • Kontaktdaten (z.B. E-Mail-Adresse, Telefonnummer)
  • Inhaltsdaten (z.B. Texteingaben in Formularen, Profilfoto, Bewerbungsunterlagen)
  • Behandlungsdaten (z.B. gebuchte Dienstleistungen, Terminhistorie)
  • Vertragsdaten (z.B. gebuchte Leistung, zugeordneter Salon)
  • Nutzungs- und Zugriffsdaten (z.B. aufgerufene Seiten, IP-Adresse, Zeitpunkt)

3. Zwecke der Verarbeitung

Zurverfügungstellung des Onlineangebots, seiner Inhalte und Funktionen · Online-Terminbuchung und Kundenkonto-Verwaltung · Versand von Terminbestätigungen und -erinnerungen · Beantwortung von Kontakt- und Bewerbungsanfragen · Sicherheits- und Missbrauchsschutz · interne Auswertung zur Verbesserung des Angebots.

4. Rechtsgrundlagen (Überblick)

Wir verarbeiten personenbezogene Daten nur auf gesetzlicher Grundlage:

  • Art. 6 Abs. 1 lit. a (Einwilligung, i.V.m. Art. 7) — z.B. Push-Benachrichtigungen, Profilfoto, werbliche Kontaktaufnahme;
  • Art. 6 Abs. 1 lit. b (Vertrag / vorvertragliche Maßnahmen) — z.B. Buchung, Kundenkonto, Warteliste, Bewerbung;
  • Art. 6 Abs. 1 lit. c (rechtliche Verpflichtung) — z.B. Aufbewahrungs- und Nachweispflichten;
  • Art. 6 Abs. 1 lit. f (berechtigtes Interesse) — z.B. sicherer Betrieb, Reichweitenmessung, interne Analysen, Missbrauchsschutz.

5. Weitergabe an Dritte, Auftragsverarbeiter und Drittlandübermittlung

Eine Weitergabe erfolgt nur auf gesetzlicher Grundlage (Vertragserfüllung, Einwilligung, rechtliche Pflicht oder berechtigtes Interesse). Auftragsverarbeiter werden auf Grundlage eines Vertrags nach Art. 28 DSGVO eingesetzt:

Drittlandübermittlung: Für Cloudflare auf Grundlage des EU-US Data Privacy Framework und ergänzend der Standardvertragsklauseln (EU) 2021/914; der Versand eigener E-Mails erfolgt über goneo (goneo Internet GmbH, Deutschland) und damit vollständig innerhalb der EU. Der für den E-Mail-Versand über Belbo eingesetzte Mail-Dienstleister (USA) ist über Belbos AV-/SCC-Kette abgesichert. Die OpenStreetMap-Kartenkacheln werden von der OpenStreetMap Foundation im Vereinigten Königreich bereitgestellt; die Übermittlung stützt sich auf den EU-Angemessenheitsbeschluss für das Vereinigte Königreich. Der über Belbo eingesetzte SMS-Dienstleister (Niederlande) verarbeitet innerhalb des EWR.

  • Cloudflare, Inc. — Hosting, Datenbank, Datei-Speicher, Reichweitenmessung, Bot-Schutz — Sitz: USA
  • Belbo Business Software GmbH — Buchungssystem — Sitz: Berlin
  • Mail-Dienstleister (Unterauftragsverarbeiter von Belbo) — E-Mail-Versand (Bestätigung/Erinnerung) — Sitz: USA
  • SMS-Dienstleister (Unterauftragsverarbeiter von Belbo) — SMS-Versand — Sitz: Niederlande (EU)
  • goneo Internet GmbH — Transaktions-E-Mails unserer Formulare, Wartelisten-Benachrichtigungen sowie proaktive Termin-Erinnerungen (Opt-in) — Sitz: Deutschland
  • OpenStreetMap Foundation — Kartenkacheln — Sitz: Vereinigtes Königreich (Drittland)

6. Erbringung vertraglicher Leistungen — Buchung und Kundenkonto

Online-Terminbuchung (Belbo): Bei der Buchung verarbeiten wir Bestands-, Kontakt-, Behandlungs- und Vertragsdaten zur Durchführung des Termins (Art. 6 Abs. 1 lit. b DSGVO). Eingesetzt wird das System der Belbo Business Software GmbH (Berlin) als Auftragsverarbeiter; es gilt zusätzlich die Datenschutzerklärung von Belbo. Belbo verarbeitet Ihre Daten ausschließlich zur Bereitstellung des Dienstes und kontaktiert Sie nicht zu eigenen Werbezwecken.

Kundenkonto: Sie können ein Konto anlegen. Die Anmeldung erfolgt ohne eigenes Passwort — die Authentifizierung läuft über das Buchungssystem Belbo; wir speichern kein Passwort. Die Konten sind nicht öffentlich und nicht durch Suchmaschinen indexierbar. Nach Kündigung werden die Konto-Daten gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten (Abschnitt 14) entgegenstehen. Bei der Registrierung speichern wir zum Schutz vor Missbrauch und als Einwilligungs-Nachweis einen Hashwert Ihrer IP-Adresse und Browser-Kennung sowie den Zeitpunkt; bei der Anmeldung speichern wir den Zeitpunkt der letzten Anmeldung, Ihre IP-Adresse wird dabei nur kurzzeitig und nicht dauerhaft verarbeitet (Art. 6 Abs. 1 lit. f DSGVO).

Profil und Profilfoto: Ein optional hochgeladenes Profilfoto wird auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) bei unserem Hosting-Dienstleister gespeichert (Abschnitt 5). Sie können es jederzeit selbst wieder entfernen; darüber hinaus wird es nicht länger gespeichert, als es für den genannten Zweck erforderlich ist.

Warteliste: Name und Kontaktangaben werden zur Benachrichtigung über freiwerdende Termine verarbeitet (Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung als Arbeitshypothese für den Mehrfach-Outreach; offene Rechtsfrage zur Einwilligungspflicht nach §7 UWG, vor Live durch DSB/Anwalt zu klären). Die Einwilligung zum Kontakt ist im Feld consent_at dokumentiert. Das Salon-Team kann freie Termine manuell per E-Mail mitteilen oder einen Eintrag telefonisch als erledigt markieren. Zur Buchung wird ein persönlicher Buchungs-Link (claim_token) erzeugt, der direkt zum Buchungsabschluss führt. Dieser Link ist persönlich und sollte nicht weitergegeben werden; er wird ungültig, sobald die Buchung abgeschlossen ist, der Termin telefonisch vereinbart wurde oder der Eintrag storniert wird. Hinweis: der Link steht im URL-Parameter (Browser-Verlauf, ggf. Logs); ob dies ohne Einmal-Nutzbarkeit Art. 5 Abs. 1 lit. f DSGVO genügt, klärt der DSB vor dem Live-Gang. Optional kann beim Eintragen ein Backup-Termin verknüpft werden, der bei Freigabe des Wunschtermins automatisch umgebucht wird. Selbst-Löschung: Sie können Ihren Wartelisten-Eintrag jederzeit direkt im Kundenbereich löschen (Art. 17 DSGVO). Die Löschung bewirkt die sofortige Nullung der personenbezogenen Felder (Name, E-Mail-Adresse, Buchungskonfiguration) bei gleichzeitiger Statusänderung auf storniert; ein anonymisierter Datensatz (ohne Personenbezug) verbleibt bis zum automatischen Hard-Delete spätestens 12 Monate nach Eintrag. Rechtsgrundlage für die Aufbewahrung des anonymisierten Rumpfs: Art. 6 Abs. 1 lit. f DSGVO (interne Conversion-Statistik). Wartelisten-Benachrichtigungen werden über unseren E-Mail-Anbieter goneo (Deutschland) versendet.

Buchungs-Funnel (Schrittmessung und Abbruchgründe): Wir erfassen im Buchungsablauf, welche Schritte durchlaufen und an welcher Stelle der Vorgang beendet wurde — einschließlich strukturierter Abbruchgründe (z.B. keine Verfügbarkeit, abgelaufene Reservierung, Fehler bei Reservierung/Bestätigung, Anmeldung erforderlich, Registrierung eingeleitet). Zweck ist das Verstehen und Verbessern des Buchungsablaufs (Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse). Für eingeloggte Sitzungen wird die Buchungs-Sitzung mit der Belbo-Kunden-ID verknüpft, sodass die Messung für diesen Personenkreis personenbezogen ist. Funnel-Ereignisdaten werden nach 12 Monaten gelöscht; Sitzungsdaten werden nach 12 Monaten anonymisiert.

7. Kontakt- und Bewerbungsformulare

Bei Kontaktaufnahme oder Bewerbung verarbeiten wir Name, E-Mail-Adresse, Nachrichteninhalt und ggf. hochgeladene Bewerbungsunterlagen (PDF/JPEG/PNG) zur Bearbeitung Ihrer Anfrage (Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO). Der Versand erfolgt über unseren E-Mail-Anbieter goneo (goneo Internet GmbH, Deutschland); Bewerbungsunterlagen werden zusätzlich bei unserem Hosting-Dienstleister gespeichert (Abschnitt 5) und aufbewahrt, solange dies für das Bewerbungsverfahren erforderlich ist.

8. Server-Logfiles

Beim Zugriff auf die Website werden Zugriffsdaten in Server-Logfiles verarbeitet (aufgerufene Seite/Datei, Datum/Uhrzeit, übertragene Datenmenge, Browsertyp und -version, Betriebssystem, Referrer-URL, IP-Adresse) auf Grundlage unseres berechtigten Interesses an Sicherheit und Stabilität (Art. 6 Abs. 1 lit. f DSGVO). Die Speicherung erfolgt nur kurzzeitig zur Auslieferung und Missbrauchsabwehr; zu Beweiszwecken erforderliche Daten sind bis zur Klärung des Vorfalls von der Löschung ausgenommen.

9. Cookies, Endgerätespeicherung (§ 25 TDDDG) und Reichweitenmessung

  • Technisch notwendig (keine Einwilligung): Ihre Anmeldesitzung wird unter dem Bezeichner „apropos_session“ als technisch notwendiges HttpOnly-Cookie (Laufzeit max. 1 Stunde) gespeichert. Für die Buchung können weitere technisch notwendige Sitzungs-Cookies gesetzt werden. Diese werden mit Ende der Sitzung bzw. beim Abmelden gelöscht.
  • Reichweitenmessung: Wir nutzen Cloudflare Web Analytics zur cookielosen Seitenaufruf-Messung ohne Personenbezug. Zusätzlich messen wir den Buchungs-Funnel (Schrittdurchläufe, Abbruchgründe); für eingeloggte Sitzungen ist diese Messung mit dem Kundenkonto verknüpft und damit personenbezogen (Näheres in Abschnitt 6). Eine Einwilligung nach § 25 TDDDG ist für diese Verarbeitung nicht erforderlich (Art. 6 Abs. 1 lit. f DSGVO). Werbe- oder Tracking-Cookies setzen wir nicht.
  • Einwilligungspflichtig: Die Aktivierung von Push-Benachrichtigungen (Abschnitt 10) erfordert eine Endgerätespeicherung über einen Service-Worker und erfolgt nur mit Ihrer Einwilligung.

10. Terminbestätigungen, -erinnerungen und Push-Benachrichtigungen

Bestätigungs- und Erinnerungsnachrichten (über Belbo): Im Zusammenhang mit Ihrer Buchung versenden wir Terminbestätigungen und -erinnerungen per E-Mail und/oder SMS. Der Versand erfolgt über Unterauftragsverarbeiter von Belbo: einen Mail-Dienstleister (USA) für E-Mail und einen SMS-Dienstleister (Niederlande/EU) für SMS. Rechtsgrundlage ist die Durchführung des Buchungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO). Eine darüber hinausgehende werbliche Kontaktaufnahme (Angebote, Aktionen) erfolgt ausschließlich, wenn Sie im Rahmen der Buchung ausdrücklich einwilligen (Art. 6 Abs. 1 lit. a DSGVO); diese Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Push-Benachrichtigungen (Web-Push): Wenn Sie Push-Benachrichtigungen aktivieren, speichern wir eine technische Push-Subscription (Endpoint und kryptografische Schlüssel Ihres Browsers), verknüpft mit Ihrem Konto. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG; die Einwilligung erteilen Sie über die Benachrichtigungsfreigabe Ihres Browsers. Die technische Zustellung erfolgt über den Push-Dienst Ihres Browser-Herstellers; dabei können Daten in Drittländer (u.a. USA) übermittelt werden. Widerruf jederzeit durch Abbestellen oder Entzug der Browser-Berechtigung. Speicherung bis zum Widerruf bzw. zur Konto-Löschung.

11. Eingebundene Dienste und Inhalte Dritter

  • Kartendarstellung — OpenStreetMap: Beim Laden einer Karte ruft Ihr Browser Kartenkacheln direkt von der OpenStreetMap Foundation (Vereinigtes Königreich, Drittland) ab; dabei wird Ihre IP-Adresse übertragen (Art. 6 Abs. 1 lit. f DSGVO; Übermittlung auf Grundlage des EU-Angemessenheitsbeschlusses für das Vereinigte Königreich). Wir setzen kein Google Maps ein.
  • Schriftarten: Verwendete Schriftarten werden lokal von unserem Server ausgeliefert; es erfolgt kein externer Abruf bei Google Fonts oder Dritten.
  • Bot-Schutz — Cloudflare Turnstile: Bei sicherheitsrelevanten Funktionen (z.B. „Passwort vergessen“) wird ein Turnstile-Token verarbeitet; es werden keine Cookies gesetzt und keine personenbezogenen Daten an Cloudflare übermittelt (Art. 6 Abs. 1 lit. f DSGVO).

13. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO). Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO), ohne dass die Rechtmäßigkeit der bisherigen Verarbeitung berührt wird. Zur Wahrnehmung Ihrer Rechte wenden Sie sich bitte an datenschutz@aproposhaare.de.

Für die Ausübung Ihrer Rechte stehen Ihnen drei Wege offen: Mit bestehendem Website-Konto können Sie im Kundenbereich unter „Mein Profil“ eine Datenauskunft anfordern oder Ihr Konto samt Website-Daten selbst und sofort löschen. Ohne Website-Konto nutzen Sie unser Formular unter aproposhaare.de/datenschutz/anfrage/ oder schreiben direkt an datenschutz@aproposhaare.de. Für Kunden ohne Website-Konto erfolgt die Löschung Ihrer Daten im Buchungssystem (Belbo) durch unser Team, nachdem Ihre Anfrage per E-Mail verifiziert wurde — innerhalb von 30 Tagen ab dieser Verifizierung (Art. 12 Abs. 3 DSGVO).

Zur Bearbeitung Ihrer Anfrage führen wir eine strukturierte Datenschutzanfrage mit Name, E-Mail-Adresse und Anfragehistorie — bei eingeloggten Kunden zusätzlich Ihrer Kunden-ID — zur internen Zusammenstellung der Auskunftserfüllung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung aus Art. 12 DSGVO). Speicherdauer: 36 Monate ab Anlage der Anfrage. Zugriff auf diese Daten haben ausschließlich autorisierte Bearbeitende.

14. Löschung von Daten

Daten werden gelöscht, sobald sie für ihren Zweck nicht mehr erforderlich sind und keine gesetzlichen Aufbewahrungspflichten entgegenstehen; andernfalls wird ihre Verarbeitung auf den Aufbewahrungszweck eingeschränkt. Gesetzliche Aufbewahrung: 6 Jahre nach § 257 HGB bzw. 10 Jahre nach § 147 AO (Art. 6 Abs. 1 lit. c DSGVO). Datenschutzanfragen werden 36 Monate aufbewahrt und danach gelöscht. Die automatisierte Bereinigung läuft täglich; entfernt werden ausschließlich personenbezogene Felder — anonymisierte Datensätze bleiben für interne Statistik erhalten. Internes Aufgaben-Management: Das Team verwendet eine interne Aufgabenansicht (Unified Inbox) zur Bearbeitung von Buchungsauffälligkeiten und Wartelisten-Anfragen. Diese Aufgabeneinträge enthalten keine personenbezogenen Kundendaten (Titel und Notizen sind rein operative Deskriptoren ohne Namen oder Kontaktdaten); sie werden 90 Tage nach Abschluss oder Archivierung automatisch gelöscht (Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an interner Betriebsqualität). Aufgabeneinträge, die sich auf Buchungsauffälligkeiten mit handelsrechtlicher Aufbewahrungspflicht beziehen (GoBD), werden bis zum Ablauf der gesetzlichen Frist zurückgehalten.

Löschen Sie Ihr Website-Konto, entfernen wir unwiderruflich alle kontobezogenen personenbezogenen Daten (Anmeldedaten, Kontaktangaben, Präferenzen, Einwilligungen) aus unserer Datenbank. Der aus Belbo gespiegelte Rechnungs- und Terminbestand (Termine, Belege) bleibt davon unberührt bestehen, weil er aufgrund gesetzlicher Aufbewahrungspflicht (§ 147 AO / GoBD) nicht gelöscht werden darf; er enthält technisch von vornherein keinen eigenen Namen oder keine eigene E-Mail-Adresse, sondern lediglich eine interne Buchungssystem-Referenz. Mit der Löschung Ihrer Konto-Daten wird der Personenbezug dieser verbleibenden Einträge faktisch aufgehoben — es handelt sich um ein anonymisiertes Verbleiben, nicht um eine gesonderte technische Sperrung der Spiegeldaten selbst.

15. Beschwerde- und Widerspruchsrecht

Sie können der künftigen Verarbeitung Ihrer Daten jederzeit widersprechen, insbesondere der Verarbeitung für Zwecke der Direktwerbung. Außerdem haben Sie das Recht, sich bei einer Aufsichtsbehörde zu beschweren, insbesondere beim Landesbeauftragten für den Datenschutz und die Informationsfreiheit Baden-Württemberg (www.baden-wuerttemberg.datenschutz.de).

16. Aktualität und Änderungen

Stand: 1. Juli 2026 (Version 4). Wir passen diese Erklärung an, wenn sich die Datenverarbeitung oder die Rechtslage ändert. Soweit Einwilligungen erforderlich sind oder Regelungen des Vertragsverhältnisses betroffen sind, erfolgen Änderungen nur mit Ihrer Zustimmung.

17. Proaktive Termin-Erinnerungen (Opt-in)

Auf ausdrücklichen Wunsch können Sie sich per E-Mail daran erinnern lassen, wenn ein Folgetermin für eine von Ihnen genutzte Dienstleistung fällig sein könnte. Zweck dieser Verarbeitung ist die proaktive, werbliche Kontaktaufnahme durch maßgeschneiderte Termin-Erinnerungen, deren Versandzeitpunkt aus einem automatisch abgeleiteten, personenbezogenen Besuchsrhythmus-Profil berechnet wird.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO i.V.m. Art. 7 DSGVO (Einwilligung). Wir setzen ein Double-Opt-in-Verfahren ein: Der Opt-in (über den Buchungsabschluss-Bildschirm oder die Profileinstellungen) löst zunächst nur eine Bestätigungs-E-Mail aus; der Versand von Erinnerungen beginnt erst nach Klick auf den Bestätigungs-Link. Der Nachweis der Einwilligung wird mit Zeitpunkt und Herkunft gespeichert (Art. 7 Abs. 1 DSGVO).

Profiling und automatisierte Entscheidungsfindung (Art. 21, Art. 22 DSGVO): Der Versandzeitpunkt wird auf Grundlage eines automatisch abgeleiteten, personenbezogenen Besuchsrhythmus-Profils ermittelt, das Ihre individuelle Buchungsfrequenz pro Dienstleistung berücksichtigt (statistisches Verfahren: Bühlmann-Shrinkage auf Basis Ihrer bisherigen Terminabstände). Es handelt sich hierbei um Profiling im Sinne von Art. 4 Nr. 4 DSGVO. Eine automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Art. 22 DSGVO findet nicht statt; die Erinnerung hat ausschließlich informierenden Charakter und erzeugt keinerlei Verpflichtung. Das Widerspruchsrecht nach Art. 21 Abs. 2 DSGVO (Widerspruch gegen Direktwerbung, einschließlich Profiling) ist durch den jederzeitigen Widerruf (Opt-out) gewahrt.

Widerruf: Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen — per Opt-out-Link in jeder Erinnerungs-E-Mail oder in Ihren Profileinstellungen unter „Termin-Erinnerungen“. Der Widerruf lässt die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung unberührt.

Versand: Der Versand erfolgt über unseren E-Mail-Anbieter goneo (goneo Internet GmbH, Deutschland) vollständig innerhalb der EU; eine Drittlandübermittlung findet dabei nicht statt. Die E-Mail enthält salon-spezifische Absenderangaben entsprechend der zuständigen GmbH (Apropos Haare GmbH für Heidelberg, Apropos Haare Mannheim GmbH für Mannheim). Speicherung der Einwilligungs- und Präferenzdaten bis zum Widerruf; nach Widerruf werden die Daten im Rahmen der üblichen Löschfristen (Abschnitt 14) bereinigt. Kunden ohne stattgefundenen Termin in den letzten 12 Monaten werden automatisch aus dem Verteiler entfernt.

19. Vorher-/Nachher-Fotos — Einwilligung und Nutzung

Auf Wunsch und nur mit Ihrer Einwilligung fertigen wir Vorher-/Nachher-Fotos Ihrer Frisur an und nutzen sie zu Marketingzwecken — insbesondere auf unserer Website, in Print- und Werbematerialien sowie auf unseren Social-Media-/Online-Kanälen (z. B. Instagram, Facebook) und vergleichbaren Kanälen, ggf. mit einer kurzen Beschreibung der Arbeit. Die Einwilligung ist freiwillig; ohne sie entstehen keine Fotos, Ihre Behandlung bleibt unberührt. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 22 KUG.

Empfänger: die verantwortliche GmbH, von uns eingesetzte Auftragsverarbeiter und — bei Online-Veröffentlichung — die jeweiligen Plattformbetreiber. Keine Weitergabe an unabhängige Dritte zu deren eigenen Zwecken.

Speicherung bis Widerruf. Sie können Ihre Einwilligung jederzeit formlos widerrufen (im Salon oder datenschutz@aproposhaare.de); wir beenden dann die Nutzung und löschen die Fotos aus den von uns kontrollierten Beständen. Der Widerruf lässt die bis dahin erfolgte Verarbeitung unberührt.

20. Herausgabe eigener Fotos an die betroffene Person (Kunden-Fotoauslieferung)

Im Rahmen einer Foto-Session (Abschnitt 18 und 19) aufgenommene Vorher-/Nachher-Bilder können auf Veranlassung des Salonteams für den betroffenen Kunden zur digitalen Abholung freigegeben werden. Der Kunde erhält dann über sein Kundenprofil die Möglichkeit, die freigegebenen Bilder herunterzuladen.

Zweck: Herausgabe der eigenen, in der Foto-Session entstandenen Bilder an die betroffene Person auf deren individualisierten Abruf hin. Auf Wunsch des Salonteams kann vorab eine bearbeitete Variante (‚edited') hochgeladen und statt des Rohbilds zur Auslieferung bestimmt werden.

Rechtsgrundlage: VORLÄUFIG Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des beauftragten Dienstleistungsvertrags). Die endgültige Rechtsgrundlage wird vor Aktivierung dieses Kanals anwaltlich bestätigt. Bis zu dieser Bestätigung ist die automatisierte Auslieferung serverseitig gesperrt; Anfragen auf Herausgabe eigener Bilder können Betroffene bereits jetzt formlos per Art.-15-Anfrage an datenschutz@aproposhaare.de richten.

Speicherfrist: Die Freigabe ist auf 90 Tage ab dem Freigabezeitpunkt (‚delivered_at') befristet. Diese Frist wahrt das Prinzip der Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO — sie ist ausreichend lang für die Abholung und zugleich verhältnismäßig kurz, weil die ausschließlich zum Auslieferungszweck erzeugten Bild-Varianten ohne eigenen Aufbewahrungsgrund nicht dauerhaft vorgehalten werden dürfen. Nach Ablauf der 90 Tage sind die freigegebenen Bilder im Kundenprofil automatisch nicht mehr abrufbar; wir empfehlen, innerhalb der Frist lokale Kopien zu sichern. Die Aufnahme-Fristen der Roh-Bilder (24 Monate intern / bis Widerruf für Marketing-Nutzung) nach Abschnitt 18 und 19 bleiben hiervon unberührt.

Benachrichtigungs-E-Mail (Ready-Mail): Bei Freigabe der Bilder erhält der Kunde eine E-Mail mit einem Deeplink zu seinem Profil-Fotos-Tab sowie dem Hinweis auf die 90-tägige Abholfrist. Rechtsgrundlage für den E-Mail-Versand: Art. 6 Abs. 1 lit. b DSGVO (Benachrichtigung im Rahmen der freigegebenen Dienstleistung). Der Versand erfolgt über unseren E-Mail-Anbieter goneo (goneo Internet GmbH, Deutschland) vollständig innerhalb der EU. Die E-Mail-Adresse des Kunden liegt bei Belbo (Abschnitt 6) und wird für den Versand ausschließlich zweckgebunden abgerufen; sie wird durch uns nicht separat gespeichert. Der Absender entspricht der zuständigen GmbH — Apropos Haare GmbH (Heidelberg) bzw. Apropos Haare Mannheim GmbH (Mannheim).

Widerruf / vorzeitiger Ablauf: Die Freigabe endet automatisch nach 90 Tagen. Eine vorzeitige Beendigung kann jederzeit formlos im Salon oder per E-Mail an datenschutz@aproposhaare.de beantragt werden. Nach Ablauf oder Widerruf werden die ausschließlich zur Auslieferung bestimmten Bild-Varianten (‚edited') sowie die Zugriffs-Grants automatisch gelöscht.

18. Behandlungsdokumentation — digitale Karteikarte

Im Rahmen Ihres Salonbesuchs dokumentieren die Friseur:innen Beratungsergebnis, Farbrezeptur, Termin-Notizen und ggf. vereinbarte Folgemaßnahmen in einer digitalen Karteikarte (Termin-Begleitung). Zweck ist die fachgerechte Fortführung Ihrer Behandlung und die nahtlose Übergabe im Vertretungsfall.

Rechtsgrundlage für die Kerndokumentation (Beratungsergebnis, Farbrezeptur, Notizen): Art. 6 Abs. 1 lit. b DSGVO — die Dokumentation dient der Erfüllung des beauftragten Werkvertrags (Friseurleistung), der mündlich mit Betreten des Salons entsteht; dies gilt auch für Laufkundschaft ohne Vorabreservierung.

Zugriff durch das Salonteam: Die Karteikarte ist für die Friseur:innen der jeweils zuständigen GmbH einsehbar, die Zugang zur Termin-Begleitung haben (Apropos Haare GmbH für Heidelberg, Apropos Haare Mannheim GmbH für Mannheim). Dieser standortinterne Team-Zugriff innerhalb derselben GmbH stützt sich ergänzend auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: Kontinuität und Vertretung in der Betreuung).

Verträglichkeits-Hinweise (Gesundheitsdaten nach Art. 9 DSGVO): Angaben zu Unverträglichkeiten oder sonstigen gesundheitsrelevanten Hinweisen werden nur mit Ihrer ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO) erfasst. Die Einwilligung erteilen Sie durch einen dokumentierten Bestätigungs-Tap in der App. Sie können diese Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen; nach Widerruf werden die betreffenden Daten unverzüglich gelöscht.

Foto-Zusendung: Auf Ihren Wunsch können Ergebnisfotos an eine von Ihnen angegebene E-Mail-Adresse gesendet werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Die Ziel-E-Mail-Adresse wird als Versand-Nachweis gespeichert und nach 24 Monaten gelöscht.

Speicherdauer: Alle Einträge der digitalen Karteikarte werden 24 Monate ab dem Datum des Eintrags automatisch gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

21. Benachrichtigungs-Protokoll

Wir protokollieren automatisierte Benachrichtigungen (E-Mail und Web-Push), die über unsere eigene Plattform an Kunden versendet werden. Zweck dieser Protokollierung ist der Nachweis und die Nachvollziehbarkeit, welche Benachrichtigungen wann ergangen sind (Rechenschaftspflicht gemäß Art. 5 Abs. 2 DSGVO sowie Missbrauchsschutz und Debugging).

Erfasste Datenkategorien: Typ der Benachrichtigung, Kanal (E-Mail oder Push), Zeitpunkt, Zustellungsstatus sowie — wenn ein betrieblicher Schalter den Versand unterbunden hat — der Status als unterdrückter Sendevorgang. Auch nicht zugestellte Benachrichtigungen werden als Metadatum protokolliert. Der Inhalt der Nachricht wird nicht gespeichert.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: Nachweis der Benachrichtigung, Missbrauchsschutz, technisches Debugging).

Speicherfrist: Protokollzeilen werden nach 12 Monaten automatisch gelöscht. Betriebliche Ein/Aus-Schalter wirken additiv zu einer etwaigen Einwilligung: Ein Schalter kann einwilligungsbasierte Benachrichtigungen technisch unterdrücken, ersetzt aber keine fehlende Einwilligung und hebt bestehende Einwilligungserfordernisse nicht auf.

Betroffenenrechte: Protokollzeilen mit Kundenbezug werden auf Auskunftsverlangen nach Art. 15 DSGVO mitgeteilt und auf Löschungsverlangen nach Art. 17 DSGVO gelöscht. Entsprechende Anfragen richten Sie bitte an datenschutz@aproposhaare.de.