Datenschutz

1. Datenschutz auf einen Blick

Allgemeine Hinweise

Diese Datenschutzerklärung informiert darüber, wie wir personenbezogene Daten verarbeiten, wenn Sie unsere Website oder unsere App nutzen, mit uns Kontakt aufnehmen oder Ihre Daten über unser bereitgestelltes Tablet im Studio eingeben. Personenbezogene Daten sind alle Informationen, die Sie persönlich identifizieren können.

Datenerfassung und Verwendung

Ihre Daten werden primär dadurch erhoben, dass Sie uns diese durch die Formularsysteme (Anamnese, Kontaktangaben, Profile) mitteilen. Zum anderen werden technische Server-Metadaten automatisch erfasst. Diese dienen der Durchführung und Dokumentation Ihrer Behandlung (Art. 6 Abs. 1 lit. b DSGVO); Gesundheitsdaten verarbeiten wir auf Grundlage Ihrer ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO). Nach Abschluss der Behandlung bzw. nach einem Widerruf bewahren wir Anamnese, Einverständniserklärung und Behandlungsdokumentation zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen auf (Art. 6 Abs. 1 lit. f, Art. 9 Abs. 2 lit. f DSGVO, siehe Abschnitt „Speicherdauer und Löschung“).

2. Cloud-Speicherung und Datenbanken (Supabase)

Um Ihnen eine hochsichere, digitale und papierlose Verwaltung Ihrer Behandlungs- und Kundenakten sowie der digitalen Verträge bieten zu können, nutzen wir die Datenbank-Infrastruktur des Anbieters Supabase (Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513) als Backend-Infrastruktur.

• Kein Tracking: Supabase ist unser reiner Datenbank-Infrastrukturanbieter und analysiert nicht Ihr Verhalten.
• EU-Server: Alle bei uns erfassten Daten (Namen, Kontakt- sowie Gesundheitsdaten) werden in einem Rechenzentrum in Frankfurt am Main (Deutschland) gespeichert und dort primär verarbeitet.
• Auftragsverarbeitungsvertrag (AVV): Supabase verarbeitet die Daten ausschließlich in unserem Auftrag und nach unseren Weisungen. Hierzu besteht ein Auftragsverarbeitungsvertrag (Data Processing Addendum) gemäß Art. 28 DSGVO.
• Drittlandbezug: Da Supabase seinen Sitz in Singapur hat und Unterauftragsverarbeiter außerhalb der EU einsetzen kann, ist ein Zugriff aus Drittländern nicht vollständig ausgeschlossen. Für diesen Fall sind die EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) als geeignete Garantien nach Art. 46 Abs. 2 lit. c DSGVO Bestandteil des Vertrags.

3. Externes Hosting (Vercel)

Unsere Systeme (Website und App) werden bei einem externen Dienstleister gehostet: Vercel Inc., 440 N Barranca Avenue #4133, Covina, CA 91723, USA. Beim Aufruf der Website werden technische Daten (z. B. IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seite, Browsertyp) in Server-Logs des Hosters verarbeitet. Dies erfolgt auf Grundlage unseres berechtigten Interesses an einer stabilen und sicheren Bereitstellung der Website (Art. 6 Abs. 1 lit. f DSGVO).

Mit Vercel besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO. Vercel ist nach dem EU-US Data Privacy Framework zertifiziert; die Übermittlung in die USA erfolgt auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission (Art. 45 DSGVO) sowie ergänzend der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

4. E-Mail-Versand und Newsletter (Resend)

Für den Versand von E-Mails (z. B. Nachrichten aus dem Kontaktformular, Bestätigungs-E-Mails und unseren Newsletter) nutzen wir den Dienst Resend (Plus Five Five, Inc., USA). Dabei werden Ihre E-Mail-Adresse, Ihr Name sowie der Inhalt der jeweiligen E-Mail verarbeitet.

• Newsletter: Den Newsletter versenden wir nur mit Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie im Double-Opt-In-Verfahren bestätigen. Wir speichern den Zeitpunkt der Anmeldung und Bestätigung sowie Ihre IP-Adresse, um die Einwilligung nachweisen zu können. Sie können den Newsletter jederzeit über den Abmeldelink in jeder E-Mail abbestellen.
• Erfolgsmessung: Unsere Newsletter enthalten ein Zählpixel bzw. verfolgbare Links. Dadurch erfahren wir, ob und wann ein Newsletter geöffnet und ob ein Link angeklickt wurde. Diese Auswertung ist Teil Ihrer Newsletter-Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG) und endet mit der Abmeldung.
• Auftragsverarbeitung und Drittland: Mit Resend besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO. Der Versand unserer E-Mails erfolgt über Server in der EU (Irland). Kontodaten, Versand-Metadaten (z. B. Empfängeradresse, Zeitpunkt, Zustellstatus) und Protokolle speichert Resend jedoch in den USA. Resend ist nach dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO); ergänzend gelten die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

5. Spamschutz im Kontaktformular (Cloudflare Turnstile)

Zum Schutz unseres Kontaktformulars vor Spam und automatisierten Angriffen nutzen wir Cloudflare Turnstile (Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA). Dabei werden technische Merkmale Ihres Browsers verarbeitet (u. a. IP-Adresse, User-Agent und Informationen zur Verbindung), um zu prüfen, ob die Anfrage von einem Menschen stammt. Rechtsgrundlage ist unser berechtigtes Interesse an der Abwehr von Missbrauch (Art. 6 Abs. 1 lit. f DSGVO); der Zugriff auf Ihr Endgerät ist hierfür unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

Cloudflare verarbeitet diese Daten als Auftragsverarbeiter; mit Cloudflare besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO. Zur Verbesserung seiner Bot-Erkennung nutzt Cloudflare die Daten zudem in eigener Verantwortung. Cloudflare ist nach dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO). Weitere Informationen: Datenschutzhinweise zu Turnstile.

6. Kontaktformular und Kontakt per E-Mail oder Telefon

Wenn Sie uns über das Kontaktformular, per E-Mail oder telefonisch kontaktieren, verarbeiten wir Ihre Angaben (Vorname, Nachname, E-Mail-Adresse, Telefonnummer und Ihre Nachricht), um Ihre Anfrage zu beantworten. Die Angaben aus dem Kontaktformular werden nicht in unserer Datenbank gespeichert, sondern per E-Mail (über Resend, siehe oben) an unser Postfach übermittelt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage auf einen Termin oder eine Behandlung gerichtet ist, im Übrigen unser berechtigtes Interesse an der Beantwortung von Anfragen (Art. 6 Abs. 1 lit. f DSGVO). Bitte senden Sie uns über das Kontaktformular keine Gesundheitsdaten; diese erfassen wir ausschließlich über unseren Kundenbogen. Ihre Anfrage löschen wir, sobald sie abschließend bearbeitet ist, spätestens jedoch nach 6 Monaten, sofern daraus kein Kundenverhältnis entsteht und keine gesetzlichen Aufbewahrungspflichten bestehen.

7. Kommunikation über WhatsApp

Sie können uns über WhatsApp kontaktieren und WhatsApp im Kundenbogen als bevorzugten Kontaktweg wählen (z. B. für Terminabsprachen). Anbieter ist die WhatsApp Ireland Limited, Irland, ein Unternehmen der Meta-Gruppe. Die Inhalte der Nachrichten sind Ende-zu-Ende-verschlüsselt; WhatsApp verarbeitet jedoch Metadaten (z. B. Telefonnummer, Zeitpunkt der Kommunikation, Geräteinformationen) und kann diese an Meta Platforms, Inc. in den USA übermitteln. Meta ist nach dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO).

Die Nutzung von WhatsApp ist freiwillig. Rechtsgrundlage ist Ihre Einwilligung durch die Wahl dieses Kontaktwegs bzw. die Kontaktaufnahme über WhatsApp (Art. 6 Abs. 1 lit. a DSGVO) sowie die Durchführung vorvertraglicher Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO). Sie können jederzeit einen anderen Kontaktweg (E-Mail, Telefon) wählen. Gesundheitsdaten besprechen wir nicht über WhatsApp. Weitere Informationen: Datenschutzrichtlinie von WhatsApp.

8. Externe Inhalte (Instagram und Google Maps)

Auf unserer Website können Sie Inhalte externer Anbieter anzeigen lassen. Diese werden erst geladen, nachdem Sie auf „Inhalt laden“ geklickt haben (Zwei-Klick-Lösung). Vorher werden keine Daten an den jeweiligen Anbieter übertragen. Mit dem Klick willigen Sie ein, dass Ihr Browser eine Verbindung zum Anbieter aufbaut; dabei werden u. a. Ihre IP-Adresse, Browserinformationen und die aufgerufene Seite übertragen, und der Anbieter kann Cookies setzen. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Die Einwilligung gilt nur für den jeweiligen Seitenaufruf; Sie widerrufen sie, indem Sie die Seite neu laden oder verlassen.

• Instagram (Startseite): Anbieter ist die Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland. Für die Erhebung und Übermittlung der Daten beim Laden der Beiträge sind wir mit Meta gemeinsam verantwortlich (Art. 26 DSGVO); für die weitere Verarbeitung ist Meta allein verantwortlich. Eine Übermittlung in die USA erfolgt auf Grundlage des EU-US Data Privacy Framework (Art. 45 DSGVO). Weitere Informationen: Datenschutzrichtlinie von Instagram.
• Google Maps (Kontaktseite und Fußbereich jeder Seite): Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Eine Übermittlung an Google LLC in den USA erfolgt auf Grundlage des EU-US Data Privacy Framework (Art. 45 DSGVO). Weitere Informationen: Datenschutzerklärung von Google.

Unabhängig davon finden Sie auf unseren Seiten einfache Links zu unseren Profilen bei Instagram und Facebook sowie zu WhatsApp. Beim bloßen Anzeigen der Links werden keine Daten an die Anbieter übertragen; erst wenn Sie einen Link anklicken, gelten die Datenschutzbestimmungen des jeweiligen Anbieters.

9. Verantwortliche Stelle

Die verantwortliche Stelle für die Datenverarbeitung lautet:

Sara Klein
aesthéra
Detmolder Str. 267
33175 Bad Lippspringe
Telefon: 0177 433 2774
E-Mail: info@permanent-makeup-paderborn.de

10. Ihre Rechte und SSL-Verschlüsselung

Betroffenenrechte gemäß DSGVO

Sie haben im Rahmen der gesetzlichen Bestimmungen jederzeit das Recht auf Auskunft über Ihre bei uns gespeicherten personenbezogenen Daten (Art. 15 DSGVO), auf Berichtigung (Art. 16 DSGVO), auf Löschung (Art. 17 DSGVO, soweit keine gesetzlichen Aufbewahrungspflichten oder die Abwehr von Rechtsansprüchen entgegenstehen), auf Einschränkung der Verarbeitung (Art. 18 DSGVO) sowie auf Datenübertragbarkeit (Art. 20 DSGVO). Wenden Sie sich hierfür formlos an die oben genannte verantwortliche Stelle.

Widerruf und Beschwerderecht

Haben Sie uns Einwilligungen erteilt (z. B. zur Verarbeitung Ihrer Gesundheitsdaten oder zu Foto-Veröffentlichungen), so können Sie diese jederzeit formlos (z. B. per E-Mail oder mündlich im Studio) mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Sie haben zudem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf, www.ldi.nrw.de.

Widerspruchsrecht gemäß Art. 21 DSGVO

Soweit wir Ihre Daten auf Grundlage unseres berechtigten Interesses verarbeiten (Art. 6 Abs. 1 lit. f DSGVO), haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch gegen diese Verarbeitung einzulegen. Wir verarbeiten Ihre Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Der Widerspruch ist formlos möglich, z. B. per E-Mail an info@permanent-makeup-paderborn.de.

Sicherheit

Sowohl die App als auch die Website wickeln den Datenverkehr vollständig TLS/SSL-verschlüsselt ab. Wir legen größten Wert auf Privatsphäre.

11. Cookies

Unsere internen Systeme und Formulare verwenden lediglich Session-Cookies (sog. notwendige Cookies) zur Verifizierung gegen Hacker-Angriffe oder zur Erhaltung Ihres Login-Status. Es existieren keine Marketing-Tracker auf dieser Domäne.

Inhalte von Instagram und Google Maps werden erst nach Ihrem Klick geladen (siehe Abschnitt „Externe Inhalte“). Erst dann kann der jeweilige Anbieter eigene Cookies setzen.

12. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist, und löschen sie anschließend automatisch:

• Kundenakte (Anamnese, unterschriebene Einverständniserklärungen, Behandlungsnotizen): bis zum Ende des zehnten Kalenderjahres nach Ihrer letzten Behandlung. Die Aufbewahrung dient der Verteidigung gegen mögliche Haftungsansprüche, deren Verjährung bei Gesundheitsschäden erst mit Kenntnis des Schadens beginnt (§§ 195, 199 BGB) bzw. strafrechtlich bis zu 10 Jahre beträgt (§ 78 StGB). Rechtsgrundlage: Art. 6 Abs. 1 lit. f, Art. 9 Abs. 2 lit. f DSGVO.
• Rechnungen und Buchungsbelege: 8 Jahre (§ 147 AO, § 14b UStG).
• Kontaktdaten, Newsletter und Foto-/Video-Einwilligungen: bis zum Widerruf bzw. bis Sie uns um Löschung bitten. Den Nachweis einer erteilten Einwilligung bewahren wir so lange auf, wie wir ihn zur Erfüllung unserer Nachweispflicht benötigen (Art. 7 Abs. 1 DSGVO).

Was passiert bei einer Löschanfrage?

Bitten Sie uns um Löschung (Art. 17 DSGVO), löschen wir Ihre Kontakt-, Newsletter- und Marketingdaten umgehend. Unterschriebene Einverständniserklärungen und die zugehörige Behandlungsdokumentation dürfen wir trotz Löschanfrage bis zum Ablauf der oben genannten Frist aufbewahren, soweit sie zur Abwehr von Rechtsansprüchen erforderlich sind (Art. 17 Abs. 3 lit. e DSGVO). Diese Daten werden gesperrt, nur noch im Streitfall eingesehen und nach Fristablauf automatisch gelöscht. Ist ein konkreter Streitfall anhängig, bewahren wir die betroffenen Unterlagen bis zu dessen Abschluss auf. Über das Ergebnis Ihrer Anfrage informieren wir Sie innerhalb eines Monats.