Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website ist:

Damin
Inhaber: Daniel Naradzynkowski
c/o IP-Management #7505
Ludwig-Erhard-Straße 18
20459 Hamburg
Deutschland

Kontakt:
E-Mail: team@damin.de

2. Erhebung und Speicherung personenbezogener Daten

Bei der Registrierung und Nutzung unserer Plattform erheben wir folgende Daten:

• Name und E-Mail-Adresse
• Passwort (verschlüsselt gespeichert)
• Optional: Telefonnummer, Adresse, Geschäftsdaten
• Optional: Marketing-Einwilligung
• Server-Log-Daten: IP-Adresse, Browser-Typ, Zeitstempel (für technische Sicherheit)
• Nutzungsdaten: Besuchte Seiten im Dashboard, Session-Dauer, Zeitpunkt der letzten Nutzung (zur Verbesserung unserer Dienste)
• Gerätedaten bei Nutzung der mobilen Apps (Geräte-ID, Push-Token)

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO zur Vertragserfüllung, Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung unserer Dienste, z.B. Nutzungsanalyse) und Art. 6 Abs. 1 lit. a DSGVO bei Einwilligung (z.B. Newsletter, Marketing-SMS).

3. Zweck der Datenverarbeitung

Ihre Daten werden ausschließlich zur Bereitstellung unserer Dienstleistung verwendet:

• Bereitstellung der SaaS-Plattform und automatisch generierter Salon-Websites
• Kundenservice und Support
• Abrechnung und Zahlungsabwicklung (einschließlich Tap to Pay und Kartenzahlung vor Ort)
• Versand von Service-E-Mails (Terminbestätigungen, Erinnerungen)
• Versand von SMS-Benachrichtigungen (Terminerinnerungen, optional Marketing-SMS)
• KI-gestützte Textgenerierung für Salon-Websites (optional)
• Automatische Antworten auf Fragen, die Besucher auf unserer Website stellen (siehe Abschnitt 6)
• KI-gestützter Telefonassistent für eingehende Anrufe (optional)
• Reichweitenmessung ohne Cookies auf unserer Website, den Salon-Websites, Buchungsseiten und Kundenseiten (siehe Abschnitt 11)
• Auswertung der Nutzung des Salon-Dashboards je Person und Salon (aktive Nutzungszeit, zuletzt geöffnete Seite, ungefährer Standort auf Stadtebene aus der IP-Adresse) zur Verbesserung der Plattform und zur Betreuung unserer Kunden; die gezählten Seitenaufrufe im Dashboard beschreibt Abschnitt 11
• Kassensystem (POS) mit gesetzeskonformer TSE-Anbindung
• Treueprogramm mit Punktesystem (optional)
• Gutschein- und Voucher-Verwaltung
• Google-Kalender-Synchronisation (optional, nur bei Verknüpfung durch Mitarbeiter)
• Anzeige von Google-Bewertungen und Standortdaten auf Salon-Websites
• Optional: Marketing-Newsletter (nur mit Einwilligung)

4. Weitergabe von Daten und Auftragsverarbeiter

Wir geben Ihre Daten nur an Dritte weiter, wenn:

• Sie ausdrücklich eingewilligt haben (Art. 6 Abs. 1 lit. a DSGVO)
• Es zur Vertragserfüllung erforderlich ist (Art. 6 Abs. 1 lit. b DSGVO)
• Eine gesetzliche Verpflichtung besteht (Art. 6 Abs. 1 lit. c DSGVO)

Auftragsverarbeiter und Dienstleister:

Mit allen Auftragsverarbeitern haben wir einen Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO abgeschlossen. Einen vollständigen Auftragsverarbeitungsvertrag (AVV) finden Sie unter damin.de/av-vertrag.

Drittlandtransfer: Die Datenübermittlung in Drittländer (insbesondere USA) erfolgt auf Grundlage des EU-U.S. Data Privacy Framework (DPF, Angemessenheitsbeschluss vom 10. Juli 2023) für DPF-zertifizierte Empfänger sowie ergänzend auf Basis der Standardvertragsklauseln (SCCs) der EU-Kommission gemäß Art. 46 DSGVO. Zusätzlich haben wir geeignete technische und organisatorische Maßnahmen (z.B. Verschlüsselung, Zugriffsbeschränkungen) implementiert.

Hinweise zu einzelnen Diensten

OpenAI (KI-Textgenerierung): Diese Funktion verarbeitet ausschließlich vom Nutzer aktiv eingegebene Inhalte zur Website-Textgenerierung. Eine Verarbeitung von Endkundendaten oder Kassendaten erfolgt nicht. Die eingegebenen Inhalte werden nicht zur Modellschulung verwendet (API-Nutzung).

Vapi (KI-Telefonassistent): Bei aktiviertem Telefonassistent werden eingehende Anrufe von einem KI-System entgegengenommen. Dabei werden Gesprächsinhalte verarbeitet und strukturierte Daten extrahiert (z.B. gewünschte Dienstleistung, Terminwunsch, Kontaktdaten). Es erfolgt keine Aufnahme oder dauerhafte Speicherung der Gespräche. Der Anrufer wird zu Beginn darauf hingewiesen, dass er mit einem KI-Assistenten spricht.

Vonage (SMS-Versand): Mobilfunknummern werden zur Zustellung von SMS-Terminerinnerungen und optionalen Marketing-SMS verarbeitet. Marketing-SMS werden nur mit ausdrücklicher Einwilligung versendet. Zustellungsberichte werden zur Qualitätssicherung verarbeitet.

WhatsApp (Meta): Verbindet ein Salon seine WhatsApp-Nummer, versenden wir seine Nachrichten an Kunden (z. B. Terminbestätigungen) über die WhatsApp Business Platform der Meta Platforms Ireland Ltd. Dabei werden Mobilfunknummer, Nachrichteninhalt und Zustellstatus verarbeitet. Verantwortlich ist der Salon; wir handeln als Auftragsverarbeiter.

Instantly (Erstansprache von Salons): Für E-Mails, mit denen wir Salons auf Damin aufmerksam machen, nutzen wir Instantly. Verarbeitet werden öffentlich angegebene Geschäftskontaktdaten (Salonname, geschäftliche E-Mail-Adresse, Ansprechpartner) und Antworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Vorstellung unseres Angebots). Sie können jederzeit widersprechen – eine Antwort auf die E-Mail genügt; wir sperren Ihre Adresse dann dauerhaft.

Sentry (Fehlerüberwachung): Bei technischen Fehlern werden anonymisierte Fehlerdaten (Fehlertyp, Browser, Betriebssystem) zur Qualitätsverbesserung erfasst. IP-Adressen werden anonymisiert.

Meta Pixel / Conversions API: Wird nur auf der Marketing-Website (damin.de) eingesetzt, nicht auf Salon-Websites. Personenbezogene Daten (E-Mail, Telefon, Name) werden vor der Übertragung an Meta gehasht (SHA-256). Keine Verarbeitung von Endkundendaten der Salon-Nutzer. In den Apps für iOS und Android wird Meta Pixel nicht geladen.

RevenueCat (In-App-Abonnement-Verwaltung): Für Abonnements, die über die iOS-App im Apple App Store oder über die Android-App bei Google Play abgeschlossen werden, nutzen wir RevenueCat, Inc. (169 Madison Ave, Suite 11608, New York, NY 10016, USA) als Auftragsverarbeiter. RevenueCat verarbeitet die Transaktionskennung des jeweiligen Stores (bei Apple die Original-Transaction-ID, bei Google Play das Kauf-Token), den Subscription-Status, die Tenant-ID des Salons sowie Lifecycle-Ereignisse (Kauf, Verlängerung, Kündigung, Erstattung). RevenueCat erhält keine Klar-Zahlungsdaten und keine Endkundendaten der Salons. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Datenübermittlung in die USA auf Basis der EU-Standardvertragsklauseln. Datenschutzerklärung: revenuecat.com/privacy.

Apple App Store (In-App-Käufe): Wenn ein Abonnement über die iOS-App abgeschlossen wird, ist Apple Distribution International Ltd. (Hollyhill Industrial Estate, Hollyhill, Cork, Republic of Ireland) eigenständig Verantwortlicher für die Zahlungsabwicklung sowie die Verwaltung des Abonnements (Verlängerung, Kündigung, Rückerstattung). Wir erhalten von Apple ausschließlich anonymisierte Transaktions-Identifier zur Validierung des Subscription-Status. Es gelten die Datenschutzbestimmungen von Apple.

Google Play (In-App-Käufe): Wenn ein Abonnement über die Android-App abgeschlossen wird, ist Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland) eigenständig Verantwortlicher für die Zahlungsabwicklung sowie die Verwaltung des Abonnements (Verlängerung, Kündigung, Rückerstattung). Zahlungsdaten wie Karten- oder Kontodaten verarbeitet ausschließlich Google; wir erhalten sie nicht. Wir erhalten über RevenueCat nur das Kauf-Token, das gewählte Abonnement und dessen Status, um den Zugang Ihres Salons freizuschalten. Es gelten die Datenschutzbestimmungen von Google.

Verantwortlichkeiten (B2B-SaaS)

Auftragsverarbeitung: Soweit Nutzer personenbezogene Daten ihrer eigenen Kunden (z.B. Salonkunden) über die Plattform verarbeiten, erfolgt die Verarbeitung durch uns als Auftragsverarbeiter im Sinne von Art. 28 DSGVO. Der Nutzer bleibt in diesem Verhältnis Verantwortlicher für die Daten seiner Kunden.

Eigene Verantwortlichkeit: Für die Verarbeitung der Nutzerdaten selbst (z.B. Registrierungsdaten, Zahlungsdaten, Nutzungsdaten des Nutzers) sind wir selbst Verantwortlicher im Sinne der DSGVO.

5. SMS-Benachrichtigungen

Wir bieten Nutzern die Möglichkeit, ihren Kunden SMS-Benachrichtigungen zu senden (z.B. Terminerinnerungen 24 Stunden vor dem Termin). Der Versand erfolgt über den Dienstleister Vonage (Ericsson).

Verarbeitete Daten: Mobilfunknummer (normalisiert im E.164-Format), Name des Empfängers, Termindetails, Zustellungsbestätigung.

Marketing-SMS: Marketing-SMS werden nur mit ausdrücklicher Einwilligung des Empfängers versendet. Die Einwilligung kann jederzeit widerrufen werden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) für Terminerinnerungen; Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) für Marketing-SMS.

6. KI-gestützte Funktionen

KI-Assistentin im Dashboard (Damina)

Im Dashboard steht Salon-Inhabern und ihren Mitarbeitern die KI-Assistentin „Damina“ zur Verfügung. Sie beantwortet Fragen zum eigenen Salon und führt auf Anweisung Aufgaben aus – etwa Termine anlegen, verschieben oder absagen, Kundendaten pflegen, Behandlungen und Einstellungen ändern.

Eingesetzte Dienste: Anthropic PBC (USA) als Sprachmodell, ersatzweise OpenAI Inc. (USA). Die übermittelten Inhalte werden nicht zum Training der Modelle verwendet (Nutzung über die Programmierschnittstelle).

Verarbeitete Daten: die Eingaben des Nutzers, Angaben zum Salon (Name, Behandlungen, Mitarbeiter, Öffnungszeiten) sowie – soweit die jeweilige Frage oder Aufgabe es erfordert – Daten von Endkunden des Salons (Name, Kontaktdaten, Termine, Notizen, Zahlungs- und Umsatzangaben). Anders als bei der Website-Textgenerierung können hier also personenbezogene Daten Dritter verarbeitet werden.

Speicherung: Die Unterhaltungen werden im Konto des Nutzers gespeichert, damit er sie später wieder aufrufen kann. Der Nutzer kann einzelne Unterhaltungen jederzeit im Dashboard löschen; spätestens mit dem Löschen des Salon-Kontos werden alle Unterhaltungen entfernt.

Einsicht durch uns: Mitarbeiter von Damin können gespeicherte Unterhaltungen einsehen, um Fehler der Assistentin zu finden und zu beheben und um sie zu verbessern. Stellen wir dabei fest, dass die Assistentin dem Salon etwas Falsches gesagt hat, können wir in der betreffenden Unterhaltung antworten; eine solche Nachricht ist im Chat ausdrücklich als Nachricht des Damin-Teams gekennzeichnet.

Transparenzhinweis: Die Assistentin ist im Chatfenster als KI-Assistentin gekennzeichnet (Transparenzpflicht gemäß EU AI Act, Art. 50).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Fehlersuche und Verbesserung der Assistentin).

Fragen auf unserer Website

Unter den häufigen Fragen auf damin.de können Besucher eine eigene Frage zu Damin stellen. Die Antwort erstellt ein KI-System automatisch aus unseren Produktangaben und Hilfe-Artikeln; ein Hinweis unter dem Eingabefeld sagt, dass eine KI antwortet.

Eingesetzter Dienst: OpenAI Inc. (USA). Die übermittelten Inhalte werden nicht zum Training der Modelle verwendet.

Verarbeitete und gespeicherte Daten: die Frage, die Antwort, die Seite, auf der gefragt wurde, und der Zeitpunkt. Nachfragen desselben Seitenaufrufs werden über eine zufällige Kennung zusammengehalten. Wir speichern dazu weder Namen noch IP-Adresse oder Cookies. Zum Schutz vor Missbrauch zählen wir die Fragen je Besucher eine Stunde lang über einen unumkehrbar verfremdeten Wert, aus dem sich die IP-Adresse nicht zurückrechnen lässt. Bitte geben Sie in Ihre Frage keine personenbezogenen Daten ein.

Zweck und Speicherdauer: Mitarbeiter von Damin sehen sich die Fragen und Antworten an, um falsche Antworten zu finden und unsere Angaben und Hilfe-Artikel zu verbessern. Nach 90 Tagen werden sie automatisch gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen und an der Verbesserung unserer Angaben).

Website-Textgenerierung (OpenAI)

Wir nutzen die API von OpenAI Inc. zur Generierung von Website-Texten (z.B. „Über uns“-Texte, Mitarbeiter-Beschreibungen, Buchungshinweise). Es werden ausschließlich vom Nutzer aktiv eingegebene Geschäftsdaten verarbeitet – keine Endkundendaten.

KI-Telefonassistent (Vapi, optional)

Bei aktiviertem KI-Telefonassistent werden eingehende Anrufe von einem KI-System beantwortet. Dabei kommen folgende Dienste zum Einsatz:

• Vapi Inc. – Orchestrierung des Telefongesprächs
• Deepgram Inc. – Sprache-zu-Text-Erkennung (Transkription)
• OpenAI Inc. – Verarbeitung und Beantwortung der Anfrage
• ElevenLabs Inc. – Text-zu-Sprache (deutschsprachige Antwort)

Verarbeitete Daten: Gesprächsinhalt (in Echtzeit, keine dauerhafte Aufnahme), extrahierte Informationen (gewünschte Dienstleistung, Terminwunsch, Kontaktdaten des Anrufers), Zusammenfassung des Gesprächs.

Transparenzhinweis: Anrufer werden zu Beginn des Gesprächs darauf hingewiesen, dass sie mit einem KI-Assistenten sprechen (Transparenzpflicht gemäß EU AI Act, Art. 50).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung – Terminvereinbarung) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an effizienter Kundenkommunikation).

7. Treueprogramm und Gutscheine

Nutzer können für ihre Kunden ein Treueprogramm mit Punktesystem aktivieren. Dabei werden folgende Daten verarbeitet:

• Geburtstag (für Geburtstags-Bonuspunkte, optional)
• Punktestand und Punktehistorie
• Treuestufe (z.B. Silber, Gold, Platin)
• Umsatzhistorie (Gesamtausgaben in Cent)

Gutscheine: Bei Nutzung des Gutscheinsystems werden Gutschein-Codes, Einlösungen und verbleibende Guthaben gespeichert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

8. Mobile Apps (iOS und Android)

Wir bieten iOS-Apps für das Kassensystem (DaminPOS) und die Salonverwaltung (DaminSalon) sowie eine Android-App für die Salonverwaltung an. Bei Nutzung der Apps werden zusätzlich verarbeitet:

• Push-Benachrichtigungen (iOS): Geräte-Token (APNS) zur Zustellung von Benachrichtigungen (z.B. neue Terminbuchungen, Tap-to-Pay-Anfragen) über den Apple Push Notification Service
• Push-Benachrichtigungen (Android): Für Mitteilungen an die Android-App (z.B. neue Terminbuchungen, Absagen, Nachrichten von Kunden) nutzen wir Firebase Cloud Messaging der Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland). Dabei werden das Geräte-Token der App sowie Titel und Text der jeweiligen Mitteilung an Google übermittelt, ausschließlich um die Mitteilung auf Ihr Gerät zuzustellen. Eine Übermittlung in die USA ist nicht ausgeschlossen; sie erfolgt auf Grundlage des EU-U.S. Data Privacy Framework und ergänzend der EU-Standardvertragsklauseln. Mitteilungen können Sie jederzeit in der App oder in den Einstellungen Ihres Geräts abschalten.
• Abonnements in der App: Käufe in der iOS-App wickelt Apple ab, Käufe in der Android-App Google Play (siehe Abschnitt 4, „Hinweise zu einzelnen Diensten“).
• Tap to Pay: Bei Nutzung von Tap to Pay auf dem iPhone erfolgt die Zahlungsabwicklung über Stripe Terminal. Kartendaten werden ausschließlich von Stripe verarbeitet und nicht auf dem Gerät gespeichert.
• Geräte-Authentifizierung: Ein Geräte-Token wird zur sicheren Zuordnung des POS-Geräts verwendet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Nutzungsmessung: In den Apps laden wir weder Google Analytics noch Google Ads noch das Meta Pixel, und wir greifen auf keine Werbe-ID Ihres Geräts zu. Anmeldung, Abschluss der Einrichtung und Abonnement-Ereignisse aus der App übermitteln wir pseudonym von unserem Server an Google Analytics, wie im Abschnitt „Google Analytics: Messung über unseren Server“ beschrieben.

9. Speicherdauer und Löschung

Allgemeine Speicherdauer

Wir speichern Ihre personenbezogenen Daten nur so lange, wie es für die Erfüllung der Vertragszwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen bestehen.

Speicherdauer nach Vertragsende (Reaktivierungsphase)

Nach Beendigung des Vertragsverhältnisses (Kündigung oder Ablauf des Abonnements) werden die Daten Ihres Nutzerkontos zunächst für einen Zeitraum von 365 Tagen inaktiv gespeichert („Deaktivierungsphase“ oder „Reaktivierungsphase“).

Zweck: Innerhalb dieses Zeitraums können Sie Ihr Konto auf Wunsch reaktivieren, ohne dass Daten (z.B. Kundendaten, Termine, Einstellungen) verloren gehen. Dies dient Ihrer Flexibilität und der vereinfachten Wiederherstellung des Dienstes.

Status: Während der Deaktivierungsphase sind Ihre Daten inaktiv gespeichert und können nicht mehr aktiv genutzt werden. Der Zugriff auf die Plattform ist gesperrt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der vereinfachten Wiederherstellung und Datensicherung sowie zur Erfüllung von Nachweispflichten).

Kassendaten (POS)

Kassendaten und TSE-Signaturen unterliegen den gesetzlichen Aufbewahrungsfristen von 10 Jahrengemäß AO und HGB. Diese Daten werden auch nach Vertragsende für die gesetzlich vorgeschriebene Dauer aufbewahrt.

Endgültige Löschung

Nach Ablauf der 365-Tage-Frist werden sämtliche personenbezogenen Daten unwiderruflich und endgültig gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten bestehen (z.B. steuerrechtliche Aufbewahrungsfristen für Rechnungen).

Die Löschung erfolgt automatisiert und umfasst:

• Kundendaten (Namen, Kontaktdaten, Terminhistorie)
• Nutzerdaten (E-Mail, Profilinformationen)
• Geschäftsdaten (Dienstleistungen, Mitarbeiter, Einstellungen)
• Bilder und Medien (Profilbilder, Salon-Fotos)
• Treueprogramm-Daten (Punkte, Stufen)
• Backups werden nach 30 Tagen automatisch überschrieben

Vorzeitige Löschung auf Wunsch

Sie haben jederzeit das Recht, die vorzeitige Löschung Ihrer Daten zu verlangen, auch während der Reaktivierungsphase (Art. 17 DSGVO „Recht auf Löschung“).

Zur Ausübung dieses Rechts kontaktieren Sie uns bitte per E-Mail an team@damin.de. Wir werden Ihre Daten innerhalb von 14 Tagen nach Erhalt Ihrer Anfrage vollständig löschen.

Datenexport

Sie können jederzeit über das Dashboard einen Export Ihrer Daten anfordern (Art. 20 DSGVO). Verfügbare Formate: CSV, JSON. Der Export umfasst Kundendaten, Termine, Kassendaten und Geschäftsdaten.

10. Ihre Rechte

Sie haben folgende Rechte gemäß DSGVO:

• Auskunft (Art. 15 DSGVO): Recht auf Auskunft über verarbeitete Daten
• Berichtigung (Art. 16 DSGVO): Recht auf Korrektur falscher Daten
• Löschung (Art. 17 DSGVO): Recht auf Löschung Ihrer Daten
• Einschränkung (Art. 18 DSGVO): Recht auf Einschränkung der Verarbeitung
• Datenübertragbarkeit (Art. 20 DSGVO): Recht auf Datenexport in maschinenlesbarem Format
• Widerspruch (Art. 21 DSGVO): Recht auf Widerspruch gegen die Verarbeitung
• Widerruf (Art. 7 DSGVO): Recht auf Widerruf erteilter Einwilligungen jederzeit mit Wirkung für die Zukunft

Zur Ausübung Ihrer Rechte kontaktieren Sie uns bitte unter: team@damin.de

11. Cookies und Tracking

Technisch notwendige Cookies

Wir verwenden technisch notwendige Cookies zur Bereitstellung unserer Dienste. Diese sind essentiell für die Funktion der Plattform (z.B. Session-Management, Authentifizierung, Cookie-Consent-Speicherung). Für diese Cookies ist keine Einwilligung erforderlich (§ 25 Abs. 2 TDDDG).

Eigene Besuchszählung ohne Cookies

Wir zählen Besuche auf unserer Website (einschließlich der Anmeldung) sowie auf den Salon-Websites und Buchungsseiten, die mit Damin betrieben werden, selbst – ohne Cookies und ohne etwas auf Ihrem Gerät zu speichern (weder Cookies noch LocalStorage oder SessionStorage). Auf dieselbe Weise zählen wir Seitenaufrufe im Salon-Dashboard, um zu sehen, welche Bereiche genutzt werden. Auf Salon-Websites, Buchungsseiten, im Kundenportal und auf Seiten aus Links in Nachrichten eines Salons (z. B. Fragebogen, Termin verwalten) zählen wir im Auftrag des jeweiligen Salons; Einzelheiten stehen in dessen Datenschutzerklärung.

Erfasste Daten: aufgerufene Seite (Kennungen und Zugangscodes in der Adresse werden vor dem Speichern entfernt), Zeitpunkt und wie lange die Seite geöffnet war, verweisende Seite, Kampagnen-Kennung in der Adresse (z. B. utm_source), Gerätetyp (Handy, Tablet, Rechner) und Betriebssystem (z. B. iOS, Android, Windows), bei Online-Buchungen die erreichten Buchungsschritte und die Art eines angezeigten Fehlers (z. B. „Termin inzwischen vergeben“; ohne die Eingaben), ob auf der Seite gescrollt oder getippt wurde (damit Programme nicht mitgezählt werden) sowie Land, Stadt und ein auf etwa 10 km gerundeter Standort. Diese Angaben werden aus der IP-Adresse abgeleitet; die IP-Adresse selbst wird nicht gespeichert.

Herkunft eines Besuchs: Woher ein Besuch kommt (z. B. Suchmaschine, Google-Unternehmensprofil oder Google Maps, soziales Netzwerk, andere Website), bestimmen wir aus der verweisenden Seite und aus den Kampagnen-Angaben in der Adresse (z. B. utm_source=google&utm_medium=profil in einem Link aus dem Google-Profil eines Salons).

Schutz vor Missbrauch: Um massenhafte Anfragen abzuwehren, halten wir Ihre IP-Adresse nur kurzzeitig im Arbeitsspeicher des Servers – in der Regel etwa eine Minute nach Ihrer letzten Anfrage – und verwerfen sie danach; sie wird nie gespeichert.

Funktionsweise: Um Besucher eines Tages zu unterscheiden, bilden wir aus IP-Adresse und Browser-Kennung zusammen mit einem täglich wechselnden Zufallswert einen gekürzten Prüfwert. Der Zufallswert eines Tages wird am übernächsten Tag automatisch gelöscht; danach ist keine Zuordnung des Prüfwerts zu einer IP-Adresse oder einem Gerät mehr möglich. Besuche verschiedener Tage werden nicht miteinander verknüpft, ein Profil über mehrere Tage entsteht nicht. Einzige Ausnahme: Bei einer Anmeldung als Salon (und im Auftrag eines Salons bei einer Online-Buchung auf dessen Seiten) wird auch der Besuch vom Vortag berücksichtigt, um festzustellen, woher der Besuch kam. Weiter zurück reicht dieser Abgleich nicht.

Herkunft einer Anmeldung: Registrieren Sie sich als Salon, speichern wir zu Ihrem Konto, woher der Besuch kam: Einstiegsseite, Art der Herkunft (z. B. Suchmaschine, soziales Netzwerk), verweisende Seite, Kampagnen-Kennung, Zahl der zuvor angesehenen Seiten und Zeitpunkt des ersten Besuchs – keine IP-Adresse und keinen Prüfwert. Diese Angabe bleibt gespeichert, solange Ihr Konto besteht. Bei Online-Buchungen auf Salon-Seiten gilt dasselbe für den Termin, im Auftrag des Salons. Wird bei einer solchen Buchung online bezahlt, übergeben wir die Herkunft (Einstiegsseite, Art der Herkunft, verweisende Website, Kampagnen-Kennung – keine IP-Adresse, kein Prüfwert) als Zusatzangabe zur Zahlung an Stripe; sie ist im Stripe-Konto des Salons sichtbar.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Reichweitenmessung und der Verbesserung unseres Angebots). Speicherdauer: Die gezählten Seitenaufrufe 14 Monate, danach werden sie automatisch gelöscht; die Herkunft einer Anmeldung oder Buchung wie oben beschrieben.

Google Analytics 4

Wir nutzen Google Analytics 4, einen Webanalysedienst der Google Ireland Limited („Google“), Gordon House, Barrow Street, Dublin 4, Irland.

Zweck: Analyse des Nutzerverhaltens zur Verbesserung unserer Website und Dienste.

Erfasste Daten:

• Besuchte Seiten und Verweildauer
• Gerätetyp, Browser und Betriebssystem
• Ungefährer Standort (auf Länder-/Stadtebene)
• Referrer (woher Sie kommen)

Erst nach Einwilligung: Wir laden Google Analytics erst, wenn Sie im Cookie-Banner zugestimmt haben. Vorher wird keine Verbindung zu Google aufgebaut, es werden keine Cookies gesetzt und keine Daten an Google übertragen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG (Einwilligung).

Salon-Websites: Auf den mit Damin betriebenen Salon-Websites, Buchungsseiten und Kundenportalen messen wir mit Google Analytics nur die Reichweite, um die Plattform zu verbessern — nach denselben Regeln (ohne Einwilligung gar nicht). Google Ads laden wir dort nicht, Werbesignale bleiben dort immer abgelehnt, und wir bilden daraus keine Zielgruppen für Anzeigen. Die Salons weisen in ihrer Datenschutzerklärung darauf hin.

IP-Anonymisierung: Die IP-Adresse wird von Google vor der Speicherung anonymisiert.

Datenübermittlung in die USA: Google kann Daten in die USA übertragen. Google ist unter dem EU-U.S. Data Privacy Framework zertifiziert. Zusätzlich gelten die Standardvertragsklauseln der EU-Kommission gemäß Art. 46 DSGVO.

Widerruf: Sie können Ihre Einwilligung jederzeit widerrufen, indem Sie:

• Ihre Cookie-Einstellungen über unser Cookie-Banner ändern
• Das Browser-Add-on zur Deaktivierung von Google Analytics installieren: https://tools.google.com/dlpage/gaoptout

Google Analytics: Messung über unseren Server

Einige Ereignisse entstehen nicht in Ihrem Browser, sondern auf unseren Servern: Abschluss, Verlängerung, fehlgeschlagene Zahlung und Ende eines Abonnements, die ersten Schritte eines Salons in Damin (z.B. erster Termin, erste Online-Buchung) sowie Anmeldung und Abschluss der Einrichtung in unserer iOS-App. Diese Ereignisse übermitteln wir direkt von unserem Server an Google Analytics (Measurement Protocol).

Umfang: Übermittelt werden der Name des Ereignisses, Tarif, Betrag und Plattform (Website oder iOS-App) zusammen mit einer pseudonymen Kennung, die wir per Hashfunktion aus der internen Kennung Ihres Salons bzw. Kontos berechnen. Wir übermitteln dabei keine E-Mail-Adresse, keinen Namen, keine IP-Adresse und keine Gerätekennung; auf Ihrem Gerät werden keine Cookies gesetzt oder ausgelesen. Die Daten sind gegenüber Google ausdrücklich nicht für personalisierte Werbung freigegeben.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse daran zu messen, wie unser Angebot genutzt und abgeschlossen wird). Sie können dieser Verarbeitung jederzeit widersprechen (Art. 21 DSGVO), z.B. per E-Mail an team@damin.de.

Google Ads (Conversion-Messung und Remarketing)

Auf unserer Website nutzen wir Google Ads der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Damit messen wir, ob ein Besuch über eine unserer Anzeigen zu einer Registrierung oder einem Abonnement führt (Conversion-Messung), und können Besuchern unserer Website später erneut Anzeigen zeigen (Remarketing).

Einwilligung: Cookies von Google Ads werden erst gesetzt, wenn Sie im Cookie-Banner der Kategorie „Marketing“ zustimmen. Ohne diese Zustimmung findet keine Conversion-Messung und keine personalisierte Werbung statt. Nur mit Ihrer Zustimmung kann bei einer Registrierung oder einem Abonnement Ihre E-Mail-Adresse in gehashter Form an Google übermittelt werden, damit Google die Conversion zuordnen kann („erweiterte Conversions“).

Rechtsgrundlage: § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Sie können Ihre Einwilligung jederzeit über die Cookie-Einstellungen widerrufen. Zur Datenübermittlung in die USA gilt das zu Google Analytics Gesagte.

Vercel Analytics

Wir nutzen Vercel Analytics, einen datenschutzfreundlichen Webanalysedienst der Vercel Inc., USA.

Datenschutzfreundliche Technologie: Vercel Analytics wurde speziell so entwickelt, dass es keine Cookies setzt und keine Daten im Browser speichert(weder LocalStorage noch SessionStorage). Es findet kein Cross-Site-Tracking statt. Daher ist für diesen Dienst keine Cookie-Einwilligung erforderlich (§ 25 TDDDG).

Funktionsweise: Die IP-Adresse des Besuchers wird zusammen mit einem täglich rotierenden Salt gehasht. Dadurch können Besucher innerhalb eines Tages für die Unique-Visitor-Statistik wiedererkannt werden, am nächsten Tag jedoch nicht mehr. Eine dauerhafte Profilbildung ist technisch ausgeschlossen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Analyse der Websitenutzung zur Optimierung unseres Angebots).

Meta Pixel und Conversions API (Facebook/Instagram)

Auf unserer Marketing-Website (damin.de) nutzen wir das Meta Pixel sowie die Meta Conversions API, Dienste der Meta Platforms Ireland Limited, 4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Irland.

Zweck: Messung der Wirksamkeit unserer Werbeanzeigen auf Facebook und Instagram, Erstellung von Custom Audiences für zielgerichtete Werbung und Conversion-Tracking.

Erfasste Daten:

• Besuchte Seiten und durchgeführte Aktionen (Events)
• Geräte- und Browser-Informationen
• IP-Adresse (anonymisiert)
• UTM-Parameter (Kampagnen-Tracking)
• Conversion-Events (z.B. Registrierung, Abonnement)
• Server-seitig (Conversions API): gehashte E-Mail, Telefonnummer, Name, Stadt, PLZ

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Das Meta Pixel und die Conversions API werden erst nach Ihrer ausdrücklichen Einwilligung über unser Cookie-Banner aktiviert.

Datenübermittlung: Daten können an Meta in die USA übertragen werden. Meta ist unter dem EU-U.S. Data Privacy Framework zertifiziert und es gelten die Standardvertragsklauseln der EU-Kommission.

Widerruf: Sie können Ihre Einwilligung jederzeit widerrufen, indem Sie:

• Ihre Cookie-Einstellungen über unser Cookie-Banner ändern
• Die Werbeeinstellungen in Ihrem Facebook-/Instagram-Konto ändern
• Die Digital Advertising Alliance Opt-Out nutzen: optout.aboutads.info

PostHog (Analyse & A/B-Tests)

Auf unserer Marketing-Website (damin.de), im Salon-Dashboard (app.damin.de) sowie auf den mit Damin betriebenen Salon-Websites und Buchungsseiten nutzen wir PostHog, einen Analyse- und Experimentierdienst der PostHog Inc., betrieben über die EU-Region (Frankfurt am Main, Deutschland). Mit PostHog messen wir, wie Salon-Inhaber:innen unser Dashboard nutzen, welche Funktionen am häufigsten verwendet werden, an welchen Schritten eine Online-Buchung abgebrochen wird und an welchen Stellen Verbesserungsbedarf besteht. Auf der Marketing-Website führen wir zusätzlich A/B-Tests von Seitenvarianten durch.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). PostHog wird erst nach Ihrer ausdrücklichen Einwilligung über unser Cookie-Banner geladen.

Verarbeitete Daten:

• Pseudonymisierte Geräte- bzw. Browser-ID
• Besuchte Seiten und ausgelöste Klick-Events (z. B. „Kostenlos starten”)
• Funktionsnutzung im Dashboard (z. B. Termin erstellt, Plan gewechselt) – nur Salon-Inhaber:innen, keine Endkunden-Daten
• Plan-Zugehörigkeit, Salon-Alter und Rolle (Inhaber/Mitarbeiter) für aggregierte Auswertungen
• Zugewiesene A/B-Test-Variante
• IP-Adresse (vor der Speicherung gekürzt)
• Browser- und Geräte-Informationen

Wichtig: Namen, E-Mail-Adressen, Telefonnummern und Buchungsinhalte von Salon-Kunden werden nicht an PostHog übertragen; ein automatischer Filter entfernt entsprechende Felder, bevor Daten gesendet werden. Besucher von Salon-Websites und Buchungsseiten erfassen wir nur, wenn sie im Cookie-Banner der Salon-Seite der Analyse zugestimmt haben – dann mit einer pseudonymen Geräte-ID und den erreichten Buchungsschritten (z. B. „Uhrzeit gewählt“).

Session-Aufzeichnung: Auf dem Salon-Dashboard zeichnen wir mit Ihrer Einwilligung Klick- und Navigations-Pfade auf, um Bedienprobleme zu erkennen und das Dashboard zu verbessern. Eingabefelder (z. B. Telefonnummern, E-Mail-Adressen, Notizen) und Kunden-Daten in Tabellen werden vor der Aufzeichnung automatisch maskiert – sichtbar sind nur Buttons, Menüs, generische Layouts. Diese Aufzeichnungen werden ausschließlich für Produkt-Verbesserungen genutzt und nach maximal 30 Tagen gelöscht.

Server-Standort: EU (Frankfurt am Main) – keine Datenübermittlung in die USA.

Speicherdauer: Cookies bis zu 12 Monate. Aggregierte Auswertungsdaten serverseitig bis zu 7 Jahre.

Widerruf: Sie können Ihre Einwilligung jederzeit widerrufen, indem Sie im Cookie-Banner die Kategorie „Analyse” deaktivieren.

Cloudflare Turnstile (Bot-Schutz)

Auf öffentlichen Formularen setzen wir Cloudflare Turnstile ein, einen Dienst der Cloudflare Inc., 101 Townsend St, San Francisco, CA 94107, USA. Turnstile prüft, ob eine Eingabe von einem Menschen oder einem automatisierten Bot stammt.

Verarbeitete Daten: IP-Adresse, Browser-Informationen, Interaktionsdaten. Es werden keine Tracking-Cookies gesetzt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit unserer Formulare und dem Schutz vor Missbrauch).

12. Google Maps, Places und Kalender

Auf Salon-Websites können interaktive Karten (Mapbox/Google Maps), Google-Bewertungen und Google-Standortdaten angezeigt werden.

Google Places: Zur Anzeige von Bewertungen und Standortinformationen rufen wir Daten von der Google Places API ab. Es werden keine personenbezogenen Daten der Website-Besucher an Google übertragen.

Google Kalender (optional): Mitarbeiter können freiwillig ihren persönlichen Google-Kalender mit der Plattform verknüpfen. Dabei werden Kalendereinträge bidirektional synchronisiert. Die Verknüpfung erfordert eine explizite Autorisierung über OAuth 2.0 und kann jederzeit in den Kontoeinstellungen widerrufen werden.

Mapbox: Für interaktive Karten auf Salon-Websites nutzen wir Mapbox Inc. Dabei kann die IP-Adresse der Website-Besucher an Mapbox übertragen werden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Darstellung von Standortinformationen) bzw. Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) für die Google-Kalender-Verknüpfung.

13. Sicherheit der Verarbeitung

Technische Sicherheitsmaßnahmen

Wir setzen gemäß Art. 32 DSGVO geeignete technische und organisatorische Maßnahmen ein, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Diese umfassen insbesondere:

• Verschlüsselung: SSL/TLS-Verschlüsselung für alle Datenübertragungen
• Passwort-Sicherheit: Passwörter werden gehasht und nicht im Klartext gespeichert
• Zugriffskontrolle: Technische Mandantentrennung auf Datenbankebene (Row Level Security)
• Authentifizierung: Sichere Session-Verwaltung; Kunden-Authentifizierung per Einmal-Code (OTP)
• Monitoring: Überwachung auf Sicherheitsvorfälle über Sentry

Datensicherung und Backups

Wir führen regelmäßige Sicherungen aller Systemdaten durch:

• Automatisierte tägliche Backups über Supabase Point-in-Time Recovery
• Geo-redundante Speicherung in EU-Rechenzentren (Frankfurt)
• Backup-Aufbewahrung für mindestens 30 Tage

Meldung von Sicherheitsvorfällen

Im Falle eines Sicherheitsvorfalls oder einer Datenschutzverletzung erfolgt unverzüglich:

• Meldung an die zuständige Aufsichtsbehörde gemäß Art. 33 DSGVO (innerhalb 72 Stunden)
• Information der betroffenen Nutzer gemäß Art. 34 DSGVO (bei hohem Risiko)
• Dokumentation des Vorfalls und der getroffenen Gegenmaßnahmen

14. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren:

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit
Ludwig-Erhard-Str. 22
20459 Hamburg
Telefon: 040 / 428 54 - 4040
E-Mail: mailbox@datenschutz.hamburg.de

15. Double-Opt-In für Newsletter

Falls Sie sich für unseren Newsletter anmelden, senden wir Ihnen eine Bestätigungsmail (Double-Opt-In). Erst nach Klick auf den Bestätigungslink erfolgt der Versand von Marketing-E-Mails. Sie können sich jederzeit über den Link in jeder E-Mail abmelden.

Stand: Oktober 2026