Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website ist:

Damin Growth
Inhaber: Daniel Naradzynkowski
c/o IP-Management #7505
Ludwig-Erhard-Straße 18
20459 Hamburg
Deutschland

Kontakt:
E-Mail: team@damin.de

2. Erhebung und Speicherung personenbezogener Daten

Bei der Registrierung und Nutzung unserer Plattform erheben wir folgende Daten:

• Name und E-Mail-Adresse
• Passwort (verschlüsselt gespeichert)
• Optional: Telefonnummer, Adresse, Geschäftsdaten
• Optional: Marketing-Einwilligung
• Server-Log-Daten: IP-Adresse, Browser-Typ, Zeitstempel (für technische Sicherheit)
• Gerätedaten bei Nutzung der mobilen Apps (Geräte-ID, Push-Token)

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO zur Vertragserfüllung und Art. 6 Abs. 1 lit. a DSGVO bei Einwilligung (z.B. Newsletter, Marketing-SMS).

3. Zweck der Datenverarbeitung

Ihre Daten werden ausschließlich zur Bereitstellung unserer Dienstleistung verwendet:

• Bereitstellung der SaaS-Plattform und automatisch generierter Salon-Websites
• Kundenservice und Support
• Abrechnung und Zahlungsabwicklung (einschließlich Tap to Pay und Kartenzahlung vor Ort)
• Versand von Service-E-Mails (Terminbestätigungen, Erinnerungen)
• Versand von SMS-Benachrichtigungen (Terminerinnerungen, optional Marketing-SMS)
• KI-gestützte Textgenerierung für Salon-Websites (optional)
• KI-gestützter Telefonassistent für eingehende Anrufe (optional)
• Kassensystem (POS) mit gesetzeskonformer TSE-Anbindung
• Treueprogramm mit Punktesystem (optional)
• Gutschein- und Voucher-Verwaltung
• Google-Kalender-Synchronisation (optional, nur bei Verknüpfung durch Mitarbeiter)
• Anzeige von Google-Bewertungen und Standortdaten auf Salon-Websites
• Optional: Marketing-Newsletter (nur mit Einwilligung)

4. Weitergabe von Daten und Auftragsverarbeiter

Wir geben Ihre Daten nur an Dritte weiter, wenn:

• Sie ausdrücklich eingewilligt haben (Art. 6 Abs. 1 lit. a DSGVO)
• Es zur Vertragserfüllung erforderlich ist (Art. 6 Abs. 1 lit. b DSGVO)
• Eine gesetzliche Verpflichtung besteht (Art. 6 Abs. 1 lit. c DSGVO)

Auftragsverarbeiter und Dienstleister:

Mit allen Auftragsverarbeitern haben wir einen Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO abgeschlossen. Einen vollständigen Auftragsverarbeitungsvertrag (AVV) finden Sie unter damin.de/av-vertrag.

Drittlandtransfer: Die Datenübermittlung in Drittländer (insbesondere USA) erfolgt auf Grundlage des EU-U.S. Data Privacy Framework (DPF, Angemessenheitsbeschluss vom 10. Juli 2023) für DPF-zertifizierte Empfänger sowie ergänzend auf Basis der Standardvertragsklauseln (SCCs) der EU-Kommission gemäß Art. 46 DSGVO. Zusätzlich haben wir geeignete technische und organisatorische Maßnahmen (z.B. Verschlüsselung, Zugriffsbeschränkungen) implementiert.

Hinweise zu einzelnen Diensten

OpenAI (KI-Textgenerierung): KI-Funktionen verarbeiten ausschließlich vom Nutzer aktiv eingegebene Inhalte zur Website-Textgenerierung. Eine Verarbeitung von Endkundendaten oder Kassendaten erfolgt nicht. Die eingegebenen Inhalte werden nicht zur Modellschulung verwendet (API-Nutzung). KI-generierte Inhalte auf Salon-Websites werden entsprechend gekennzeichnet.

Vapi (KI-Telefonassistent): Bei aktiviertem Telefonassistent werden eingehende Anrufe von einem KI-System entgegengenommen. Dabei werden Gesprächsinhalte verarbeitet und strukturierte Daten extrahiert (z.B. gewünschte Dienstleistung, Terminwunsch, Kontaktdaten). Es erfolgt keine Aufnahme oder dauerhafte Speicherung der Gespräche. Der Anrufer wird zu Beginn darauf hingewiesen, dass er mit einem KI-Assistenten spricht.

Vonage (SMS-Versand): Mobilfunknummern werden zur Zustellung von SMS-Terminerinnerungen und optionalen Marketing-SMS verarbeitet. Marketing-SMS werden nur mit ausdrücklicher Einwilligung versendet. Zustellungsberichte werden zur Qualitätssicherung verarbeitet.

Sentry (Fehlerüberwachung): Bei technischen Fehlern werden anonymisierte Fehlerdaten (Fehlertyp, Browser, Betriebssystem) zur Qualitätsverbesserung erfasst. IP-Adressen werden anonymisiert.

Meta Pixel / Conversions API: Wird nur auf der Marketing-Website (damin.de) eingesetzt, nicht auf Salon-Websites. Personenbezogene Daten (E-Mail, Telefon, Name) werden vor der Übertragung an Meta gehasht (SHA-256). Keine Verarbeitung von Endkundendaten der Salon-Nutzer.

Verantwortlichkeiten (B2B-SaaS)

Auftragsverarbeitung: Soweit Nutzer personenbezogene Daten ihrer eigenen Kunden (z.B. Salonkunden) über die Plattform verarbeiten, erfolgt die Verarbeitung durch uns als Auftragsverarbeiter im Sinne von Art. 28 DSGVO. Der Nutzer bleibt in diesem Verhältnis Verantwortlicher für die Daten seiner Kunden.

Eigene Verantwortlichkeit: Für die Verarbeitung der Nutzerdaten selbst (z.B. Registrierungsdaten, Zahlungsdaten, Nutzungsdaten des Nutzers) sind wir selbst Verantwortlicher im Sinne der DSGVO.

5. SMS-Benachrichtigungen

Wir bieten Nutzern die Möglichkeit, ihren Kunden SMS-Benachrichtigungen zu senden (z.B. Terminerinnerungen 24 Stunden vor dem Termin). Der Versand erfolgt über den Dienstleister Vonage (Sinch).

Verarbeitete Daten: Mobilfunknummer (normalisiert im E.164-Format), Name des Empfängers, Termindetails, Zustellungsbestätigung.

Marketing-SMS: Marketing-SMS werden nur mit ausdrücklicher Einwilligung des Empfängers versendet. Die Einwilligung kann jederzeit widerrufen werden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) für Terminerinnerungen; Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) für Marketing-SMS.

6. KI-gestützte Funktionen

Website-Textgenerierung (OpenAI)

Wir nutzen die API von OpenAI Inc. zur Generierung von Website-Texten (z.B. "Über uns"-Texte, Mitarbeiter-Beschreibungen, Buchungshinweise). Es werden ausschließlich vom Nutzer aktiv eingegebene Geschäftsdaten verarbeitet – keine Endkundendaten.

KI-Telefonassistent (Vapi, optional)

Bei aktiviertem KI-Telefonassistent werden eingehende Anrufe von einem KI-System beantwortet. Dabei kommen folgende Dienste zum Einsatz:

• Vapi Inc. – Orchestrierung des Telefongesprächs
• Deepgram Inc. – Sprache-zu-Text-Erkennung (Transkription)
• OpenAI Inc. – Verarbeitung und Beantwortung der Anfrage
• ElevenLabs Inc. – Text-zu-Sprache (deutschsprachige Antwort)

Verarbeitete Daten: Gesprächsinhalt (in Echtzeit, keine dauerhafte Aufnahme), extrahierte Informationen (gewünschte Dienstleistung, Terminwunsch, Kontaktdaten des Anrufers), Zusammenfassung des Gesprächs.

Transparenzhinweis: Anrufer werden zu Beginn des Gesprächs darauf hingewiesen, dass sie mit einem KI-Assistenten sprechen (Transparenzpflicht gemäß EU AI Act, Art. 50).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung – Terminvereinbarung) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an effizienter Kundenkommunikation).

7. Treueprogramm und Gutscheine

Nutzer können für ihre Kunden ein Treueprogramm mit Punktesystem aktivieren. Dabei werden folgende Daten verarbeitet:

• Geburtstag (für Geburtstags-Bonuspunkte, optional)
• Punktestand und Punktehistorie
• Treuestufe (z.B. Silber, Gold, Platin)
• Umsatzhistorie (Gesamtausgaben in Cent)

Gutscheine: Bei Nutzung des Gutscheinsystems werden Gutschein-Codes, Einlösungen und verbleibende Guthaben gespeichert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

8. Mobile Apps (iOS)

Wir bieten iOS-Apps für das Kassensystem (DaminPOS) und die Salonverwaltung (DaminSalon) an. Bei Nutzung der Apps werden zusätzlich verarbeitet:

• Push-Benachrichtigungen: Geräte-Token (APNS) zur Zustellung von Benachrichtigungen (z.B. neue Terminbuchungen, Tap-to-Pay-Anfragen)
• Tap to Pay: Bei Nutzung von Tap to Pay auf dem iPhone erfolgt die Zahlungsabwicklung über Stripe Terminal. Kartendaten werden ausschließlich von Stripe verarbeitet und nicht auf dem Gerät gespeichert.
• Geräte-Authentifizierung: Ein Geräte-Token wird zur sicheren Zuordnung des POS-Geräts verwendet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

9. Speicherdauer und Löschung

Allgemeine Speicherdauer

Wir speichern Ihre personenbezogenen Daten nur so lange, wie es für die Erfüllung der Vertragszwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen bestehen.

Speicherdauer nach Vertragsende (Reaktivierungsphase)

Nach Beendigung des Vertragsverhältnisses (Kündigung oder Ablauf des Abonnements) werden die Daten Ihres Nutzerkontos zunächst für einen Zeitraum von 365 Tagen inaktiv gespeichert ("Deaktivierungsphase" oder "Reaktivierungsphase").

Zweck: Innerhalb dieses Zeitraums können Sie Ihr Konto auf Wunsch reaktivieren, ohne dass Daten (z.B. Kundendaten, Termine, Einstellungen) verloren gehen. Dies dient Ihrer Flexibilität und der vereinfachten Wiederherstellung des Dienstes.

Status: Während der Deaktivierungsphase sind Ihre Daten inaktiv gespeichert und können nicht mehr aktiv genutzt werden. Der Zugriff auf die Plattform ist gesperrt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der vereinfachten Wiederherstellung und Datensicherung sowie zur Erfüllung von Nachweispflichten).

Kassendaten (POS)

Kassendaten und TSE-Signaturen unterliegen den gesetzlichen Aufbewahrungsfristen von 10 Jahrengemäß AO und HGB. Diese Daten werden auch nach Vertragsende für die gesetzlich vorgeschriebene Dauer aufbewahrt.

Endgültige Löschung

Nach Ablauf der 365-Tage-Frist werden sämtliche personenbezogenen Daten unwiderruflich und endgültig gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten bestehen (z.B. steuerrechtliche Aufbewahrungsfristen für Rechnungen).

Die Löschung erfolgt automatisiert und umfasst:

• Kundendaten (Namen, Kontaktdaten, Terminhistorie)
• Nutzerdaten (E-Mail, Profilinformationen)
• Geschäftsdaten (Dienstleistungen, Mitarbeiter, Einstellungen)
• Bilder und Medien (Profilbilder, Salon-Fotos)
• Treueprogramm-Daten (Punkte, Stufen)
• Backups werden nach 30 Tagen automatisch überschrieben

Vorzeitige Löschung auf Wunsch

Sie haben jederzeit das Recht, die vorzeitige Löschung Ihrer Daten zu verlangen, auch während der Reaktivierungsphase (Art. 17 DSGVO "Recht auf Löschung").

Zur Ausübung dieses Rechts kontaktieren Sie uns bitte per E-Mail an team@damin.de. Wir werden Ihre Daten innerhalb von 14 Tagen nach Erhalt Ihrer Anfrage vollständig löschen.

Datenexport

Sie können jederzeit über das Dashboard einen Export Ihrer Daten anfordern (Art. 20 DSGVO). Verfügbare Formate: CSV, JSON. Der Export umfasst Kundendaten, Termine, Kassendaten und Geschäftsdaten.

10. Ihre Rechte

Sie haben folgende Rechte gemäß DSGVO:

• Auskunft (Art. 15 DSGVO): Recht auf Auskunft über verarbeitete Daten
• Berichtigung (Art. 16 DSGVO): Recht auf Korrektur falscher Daten
• Löschung (Art. 17 DSGVO): Recht auf Löschung Ihrer Daten
• Einschränkung (Art. 18 DSGVO): Recht auf Einschränkung der Verarbeitung
• Datenübertragbarkeit (Art. 20 DSGVO): Recht auf Datenexport in maschinenlesbarem Format
• Widerspruch (Art. 21 DSGVO): Recht auf Widerspruch gegen die Verarbeitung
• Widerruf (Art. 7 DSGVO): Recht auf Widerruf erteilter Einwilligungen jederzeit mit Wirkung für die Zukunft

Zur Ausübung Ihrer Rechte kontaktieren Sie uns bitte unter: team@damin.de

11. Cookies und Tracking

Technisch notwendige Cookies

Wir verwenden technisch notwendige Cookies zur Bereitstellung unserer Dienste. Diese sind essentiell für die Funktion der Plattform (z.B. Session-Management, Authentifizierung, Cookie-Consent-Speicherung). Für diese Cookies ist keine Einwilligung erforderlich (§ 25 Abs. 2 TDDDG).

Google Analytics 4

Wir nutzen Google Analytics 4, einen Webanalysedienst der Google Ireland Limited ("Google"), Gordon House, Barrow Street, Dublin 4, Irland.

Zweck: Analyse des Nutzerverhaltens zur Verbesserung unserer Website und Dienste.

Erfasste Daten:

• Besuchte Seiten und Verweildauer
• Gerätetyp, Browser und Betriebssystem
• Ungefährer Standort (auf Länder-/Stadtebene)
• Referrer (woher Sie kommen)

Consent Mode v2: Wir nutzen Google Analytics im Consent Mode v2. Vor Ihrer Einwilligung werden keine Analytics-Cookies gesetzt. Es können jedoch anonyme, cookielose Signale (sog. "Pings") an Google übertragen werden, die keine personenbezogenen Daten enthalten und der statistischen Modellierung dienen. Erst nach Ihrer ausdrücklichen Einwilligung über unser Cookie-Banner werden Analytics-Cookies aktiviert und vollständige Nutzungsdaten erfasst.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) für die vollständige Datenerfassung; Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) für die cookielosen Signale vor Einwilligung.

IP-Anonymisierung: Die IP-Adresse wird von Google vor der Speicherung anonymisiert.

Datenübermittlung in die USA: Google kann Daten in die USA übertragen. Google ist unter dem EU-U.S. Data Privacy Framework zertifiziert. Zusätzlich gelten die Standardvertragsklauseln der EU-Kommission gemäß Art. 46 DSGVO.

Widerruf: Sie können Ihre Einwilligung jederzeit widerrufen, indem Sie:

• Ihre Cookie-Einstellungen über unser Cookie-Banner ändern
• Das Browser-Add-on zur Deaktivierung von Google Analytics installieren: https://tools.google.com/dlpage/gaoptout

Vercel Analytics

Wir nutzen Vercel Analytics, einen datenschutzfreundlichen Webanalysedienst der Vercel Inc., USA.

Datenschutzfreundliche Technologie: Vercel Analytics wurde speziell so entwickelt, dass es keine Cookies setzt und keine Daten im Browser speichert(weder LocalStorage noch SessionStorage). Es findet kein Cross-Site-Tracking statt. Daher ist für diesen Dienst keine Cookie-Einwilligung erforderlich (§ 25 TDDDG).

Funktionsweise: Die IP-Adresse des Besuchers wird zusammen mit einem täglich rotierenden Salt gehasht. Dadurch können Besucher innerhalb eines Tages für die Unique-Visitor-Statistik wiedererkannt werden, am nächsten Tag jedoch nicht mehr. Eine dauerhafte Profilbildung ist technisch ausgeschlossen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Analyse der Websitenutzung zur Optimierung unseres Angebots).

Meta Pixel und Conversions API (Facebook/Instagram)

Auf unserer Marketing-Website (damin.de) nutzen wir das Meta Pixel sowie die Meta Conversions API, Dienste der Meta Platforms Ireland Limited, 4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Irland.

Zweck: Messung der Wirksamkeit unserer Werbeanzeigen auf Facebook und Instagram, Erstellung von Custom Audiences für zielgerichtete Werbung und Conversion-Tracking.

Erfasste Daten:

• Besuchte Seiten und durchgeführte Aktionen (Events)
• Geräte- und Browser-Informationen
• IP-Adresse (anonymisiert)
• UTM-Parameter (Kampagnen-Tracking)
• Conversion-Events (z.B. Registrierung, Abonnement)
• Server-seitig (Conversions API): gehashte E-Mail, Telefonnummer, Name, Stadt, PLZ

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Das Meta Pixel und die Conversions API werden erst nach Ihrer ausdrücklichen Einwilligung über unser Cookie-Banner aktiviert.

Datenübermittlung: Daten können an Meta in die USA übertragen werden. Meta ist unter dem EU-U.S. Data Privacy Framework zertifiziert und es gelten die Standardvertragsklauseln der EU-Kommission.

Widerruf: Sie können Ihre Einwilligung jederzeit widerrufen, indem Sie:

• Ihre Cookie-Einstellungen über unser Cookie-Banner ändern
• Die Werbeeinstellungen in Ihrem Facebook-/Instagram-Konto ändern
• Die Digital Advertising Alliance Opt-Out nutzen: optout.aboutads.info

Cloudflare Turnstile (Bot-Schutz)

Auf öffentlichen Formularen setzen wir Cloudflare Turnstile ein, einen Dienst der Cloudflare Inc., 101 Townsend St, San Francisco, CA 94107, USA. Turnstile prüft, ob eine Eingabe von einem Menschen oder einem automatisierten Bot stammt.

Verarbeitete Daten: IP-Adresse, Browser-Informationen, Interaktionsdaten. Es werden keine Tracking-Cookies gesetzt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit unserer Formulare und dem Schutz vor Missbrauch).

12. Google Maps, Places und Kalender

Auf Salon-Websites können interaktive Karten (Mapbox/Google Maps), Google-Bewertungen und Google-Standortdaten angezeigt werden.

Google Places: Zur Anzeige von Bewertungen und Standortinformationen rufen wir Daten von der Google Places API ab. Es werden keine personenbezogenen Daten der Website-Besucher an Google übertragen.

Google Calendar (optional): Mitarbeiter können freiwillig ihren persönlichen Google-Kalender mit der Plattform verknüpfen. Dabei werden Kalendereinträge bidirektional synchronisiert. Die Verknüpfung erfordert eine explizite Autorisierung über OAuth 2.0 und kann jederzeit in den Kontoeinstellungen widerrufen werden.

Mapbox: Für interaktive Karten auf Salon-Websites nutzen wir Mapbox Inc. Dabei kann die IP-Adresse der Website-Besucher an Mapbox übertragen werden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Darstellung von Standortinformationen) bzw. Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) für die Google-Kalender-Verknüpfung.

13. Sicherheit der Verarbeitung

Technische Sicherheitsmaßnahmen

Wir setzen gemäß Art. 32 DSGVO geeignete technische und organisatorische Maßnahmen ein, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Diese umfassen insbesondere:

• Verschlüsselung: SSL/TLS-Verschlüsselung für alle Datenübertragungen
• Passwort-Sicherheit: Passwörter werden gehasht und nicht im Klartext gespeichert
• Zugriffskontrolle: Technische Mandantentrennung auf Datenbankebene (Row Level Security)
• Authentifizierung: Sichere Session-Verwaltung; Kunden-Authentifizierung per Einmal-Code (OTP)
• Monitoring: Überwachung auf Sicherheitsvorfälle über Sentry

Datensicherung und Backups

Wir führen regelmäßige Sicherungen aller Systemdaten durch:

• Automatisierte tägliche Backups über Supabase Point-in-Time Recovery
• Geo-redundante Speicherung in EU-Rechenzentren (Frankfurt)
• Backup-Aufbewahrung für mindestens 30 Tage

Meldung von Sicherheitsvorfällen

Im Falle eines Sicherheitsvorfalls oder einer Datenschutzverletzung erfolgt unverzüglich:

• Meldung an die zuständige Aufsichtsbehörde gemäß Art. 33 DSGVO (innerhalb 72 Stunden)
• Information der betroffenen Nutzer gemäß Art. 34 DSGVO (bei hohem Risiko)
• Dokumentation des Vorfalls und der getroffenen Gegenmaßnahmen

14. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren:

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit
Ludwig-Erhard-Str. 22
20459 Hamburg
Telefon: 040 / 428 54 - 4040
E-Mail: mailbox@datenschutz.hamburg.de

15. Double-Opt-In für Newsletter

Falls Sie sich für unseren Newsletter anmelden, senden wir Ihnen eine Bestätigungsmail (Double-Opt-In). Erst nach Klick auf den Bestätigungslink erfolgt der Versand von Marketing-E-Mails. Sie können sich jederzeit über den Link in jeder E-Mail abmelden.

Stand: Februar 2026