Datenschutzerklärung

1. Überblick und Rollen

Beepointly ist eine Software, mit der Geschäfte aus dem Beauty-Bereich (im Folgenden „Geschäfte“) eine eigene Buchungsseite betreiben und ihre Termine verwalten. Es gibt deshalb zwei Rollen:

• Für die Website, die Geschäftskonten (Registrierung, Anmeldung, Einrichtung), den Support und die Abrechnung mit den Geschäften ist der unter Ziffer 2 genannte Betreiber Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO.
• Für die Daten der Kundinnen und Kunden eines Geschäfts (Buchungen, Kundenprofile, Warteliste, Nachrichten) ist das jeweilige Geschäft Verantwortlicher. Der Betreiber verarbeitet diese Daten ausschließlich im Auftrag und nach Weisung des Geschäfts als Auftragsverarbeiter (Art. 28 DSGVO). Hierfür schließt der Betreiber mit jedem Geschäft einen Vertrag zur Auftragsverarbeitung (AVV).

Wenn Sie über die Buchungsseite eines Geschäfts einen Termin buchen, wenden Sie sich mit Fragen zu Ihren Daten bitte zuerst an dieses Geschäft. Dessen Kontaktdaten stehen auf der Buchungsseite. Anfragen, die uns erreichen, leiten wir unverzüglich an das Geschäft weiter.

2. Verantwortlicher und Kontakt

[AUSFÜLLEN: Vor- und Nachname bzw. Firma]
Einzelunternehmen
[AUSFÜLLEN: Straße und Hausnummer], [AUSFÜLLEN: PLZ] [AUSFÜLLEN: Ort], Deutschland

E-Mail: [AUSFÜLLEN: Kontakt-E-Mail, z. B. kontakt@beepointly.de]
Telefon: [AUSFÜLLEN: Telefonnummer]

Kontakt für Datenschutzanfragen: [AUSFÜLLEN: Datenschutz-E-Mail, z. B. datenschutz@beepointly.de]

Ein Datenschutzbeauftragter ist nicht benannt, da die gesetzlichen Voraussetzungen für eine Benennungspflicht nicht vorliegen.

3. Aufruf der Website und der Web-App

Beim Aufruf unserer Seiten verarbeitet unser Hosting-Dienstleister Vercel (siehe Ziffer 11) technisch notwendige Verbindungsdaten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Statuscode, Referrer-Adresse sowie Browser- und Betriebssystemangaben (User-Agent). Diese Daten werden benötigt, um die Seiten auszuliefern, Angriffe abzuwehren und Fehler zu finden.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der sicheren und stabilen Bereitstellung des Angebots.

Speicherdauer der Zugriffsprotokolle: [AUSFÜLLEN: Aufbewahrung der Vercel-Protokolle laut Tarif].

Zur Abwehr von Missbrauch (zum Beispiel massenhafte Anmelde- oder Buchungsversuche) zählen wir Anfragen je Absender. Dafür speichern wir nur einen Hashwert der IP-Adresse beziehungsweise des Kennzeichens, nie die IP-Adresse im Klartext; die Zähler werden 24 Stunden nach Ablauf des Zeitfensters gelöscht (Art. 6 Abs. 1 lit. f DSGVO).

Schriftarten werden von unseren eigenen Servern geladen. Es werden keine Inhalte von Drittanbietern wie Schriftarten-, Karten- oder Videodiensten in die Seiten eingebunden.

4. Registrierung und Geschäftskonto

Für die Nutzung als Geschäft legen Sie ein Konto an. Dabei verarbeiten wir den Namen des Geschäfts, Ihre E-Mail-Adresse und Ihr Passwort (nur als sicherer Hashwert gespeichert). Die Registrierung wird erst wirksam, wenn Sie den Link in der Bestätigungs-E-Mail aufrufen (Double-Opt-in). Bei Anmeldung und Registrierung verarbeitet unser Dienstleister Supabase außerdem Zeitpunkte und IP-Adressen der Anmeldevorgänge, um das Konto vor Missbrauch zu schützen.

Im Konto pflegen Sie Angaben zum Geschäft, zum Beispiel Anschrift, Telefonnummer, E-Mail-Adressen für Benachrichtigungen, Öffnungs- und Arbeitszeiten, Leistungen, Preise und die Namen von Teammitgliedern. Diese Angaben erscheinen, soweit Sie es so einstellen, auf Ihrer öffentlichen oder privaten Buchungsseite.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag über die Nutzung der Software und dessen Anbahnung). Soweit Sie Daten Ihrer Teammitglieder eintragen, sind Sie für deren Information verantwortlich.

Anmeldung mit Google (nur wenn freigeschaltet)

Sobald wir die Anmeldung mit Google anbieten, können Sie sich statt mit Passwort über Ihr Google-Konto registrieren und anmelden. Dabei leitet Sie Ihr Browser zu Google (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) weiter. Google teilt uns nach Ihrer Freigabe Ihre E-Mail-Adresse, Ihren Namen (als Vorschlag für den Namen des Geschäfts), ein Profilbild, sofern vorhanden, und eine Kennung Ihres Google-Kontos mit. Ein Passwort wird dabei nicht an uns übertragen. Google ist für die Anmeldung bei Google selbst verantwortlich; es gelten die Datenschutzhinweise von Google (https://policies.google.com/privacy). Eine Übermittlung in die USA ist dabei nicht auszuschließen (Angemessenheitsbeschluss EU-US Data Privacy Framework, sofern zertifiziert). Ein bestehendes Geschäftskonto wird nie allein wegen derselben E-Mail-Adresse mit einem Google-Konto verbunden.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Anmeldung mit Google ist freiwillig; die Anmeldung mit E-Mail und Passwort bleibt immer möglich.

Konto selbst löschen

Sie können Ihr Geschäftskonto in den Kontoeinstellungen selbst löschen. Nach dem Antrag gilt eine Frist von 14 Tagen, in der Sie die Löschung widerrufen können; in dieser Zeit ist Ihre Buchungsseite für neue Buchungen geschlossen. Vorher können Sie Ihre Daten als ZIP-Datei (Tabellen) und als Kalenderdatei exportieren. Nach Ablauf der Frist löschen wir das Konto, das Geschäft mit allen Terminen, Kundenprofilen, Bildern und Einstellungen sowie den Zugang endgültig und bestätigen das per E-Mail an die Anmeldeadresse. Die Adresse Ihrer Buchungsseite vergeben wir danach nicht neu (gespeichert wird nur ein Hashwert, um Verwechslungen und Missbrauch auszuschließen). Abrechnungsunterlagen und Datensicherungen siehe Ziffer „Speicherdauer und Löschung“.

5. Prüfung der Geschäftsadresse

Bei der Einrichtung prüfen wir die eingegebene Geschäftsadresse auf Schreibfehler. Dazu senden wir einmalig beim Weiterklicken Straße mit Hausnummer, Postleitzahl und Ort an den Dienst „Nominatim“ der OpenStreetMap Foundation (Vereinigtes Königreich). Weitere Daten, etwa Ihr Name, Ihre E-Mail-Adresse oder Ihre Kontodaten, werden dabei nicht übermittelt. Der Anbieter erhält technisch bedingt die IP-Adresse unseres Servers, nicht Ihre.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Adresse zu Ihnen als Person gehört (zum Beispiel bei einem Einzelunternehmen), im Übrigen Art. 6 Abs. 1 lit. f DSGVO (korrekte Angaben auf der Buchungsseite). Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission. Datenschutzhinweise des Anbieters: https://osmfoundation.org/wiki/Privacy_Policy

6. Online-Terminbuchung über die Buchungsseite eines Geschäfts

Verantwortlich für die folgenden Verarbeitungen ist das Geschäft, bei dem Sie buchen (siehe Ziffer 1). Wir verarbeiten die Daten in dessen Auftrag.

Öffentliche Buchung

Für eine Buchung geben Sie Ihren Namen, Ihre E-Mail-Adresse und optional Ihre Telefonnummer an. Gespeichert werden außerdem die gewählte Leistung mit Ausführung und Zusätzen, Datum, Uhrzeit, ausführende Person, Preis, eine Buchungsreferenz sowie der Zeitpunkt Ihrer Zustimmung zu den Buchungshinweisen.

Eine öffentliche Buchung wird erst verbindlich, wenn Sie den Link in der Bestätigungs-E-Mail aufrufen (Double-Opt-in). So stellen wir sicher, dass die E-Mail-Adresse Ihnen gehört. Bis dahin wird die Zeit für kurze Zeit freigehalten. Wird die Buchung nicht rechtzeitig bestätigt, verfällt sie und wird 24 Stunden nach Ablauf der Bestätigungsfrist vollständig gelöscht.

Private Buchungsseite

Hat ein Geschäft seine Buchungsseite auf Bestandskundschaft beschränkt, erhalten Sie eine Einladung oder einen Anmeldelink per E-Mail. Nach dem Aufruf des Links bleiben Sie auf der Seite dieses Geschäfts angemeldet (Cookie „sb_kunde“, höchstens 30 Tage). Das Geschäft sieht in seinem Kundenprofil Ihre Kontaktdaten, Ihre Termine und eigene Notizen.

Verwalten, Erinnerungen, Warteliste

Mit Ihrer Buchung erhalten Sie E-Mails mit einem persönlichen Link, über den Sie den Termin im Rahmen der Regeln des Geschäfts verschieben oder absagen können, sowie Erinnerungen vor dem Termin. Wenn Sie sich auf eine Warteliste setzen, speichern wir Ihre Kontaktdaten und den gewünschten Zeitraum, damit das Geschäft Sie bei einem freien Termin ansprechen kann.

Rechtsgrundlage für das Geschäft ist in der Regel Art. 6 Abs. 1 lit. b DSGVO (Durchführung der Terminvereinbarung). Links und Sitzungskennungen werden nur als Hashwert gespeichert. Gesundheitsdaten werden nicht abgefragt; bitte tragen Sie solche Angaben auch nicht in Freitextfelder ein.

Hinweis für Geschäfte: interne Notizen

Geschäfte können an Kundenprofilen und Terminen interne Notizen hinterlegen, die nur ihr Team sieht. Angaben zur Gesundheit (zum Beispiel Allergien, Hautzustand, Schwangerschaft oder Medikamente) sind besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) und gehören nicht in diese Felder; die Software ist dafür nicht ausgelegt. Das Feld weist darauf hin.

Minderjährige

Die Buchungsseiten richten sich an Erwachsene. Für Personen unter 16 Jahren soll eine erziehungsberechtigte Person buchen und ihre eigenen Kontaktdaten angeben. Eine Altersprüfung findet nicht statt; ob und wie ein Geschäft Minderjährige behandelt, entscheidet und verantwortet das Geschäft.

Auskunft und Export je Kundin oder Kunde

Für Auskunft (Art. 15 DSGVO), Berichtigung, Löschung und Datenübertragbarkeit (Art. 20 DSGVO) zu Buchungsdaten ist das Geschäft verantwortlich. Im Kundenprofil sieht das Geschäft Kontaktdaten, Termine und Notizen einer Person und kann sie dort berichtigen oder das Profil löschen; vergangene Termine bleiben dann ohne Personenbezug erhalten. Über den Datenexport des Kontos erhält das Geschäft alle Kundenprofile und Termine in maschinenlesbarer Form. Wir unterstützen das Geschäft auf Anfrage bei der Zusammenstellung der Daten einer einzelnen Person.

7. Versand von E-Mails

E-Mails zu Buchungen, Erinnerungen, Einladungen, Anmeldelinks der Kundschaft und zur Kontolöschung versenden wir über den Dienst Resend (siehe Ziffer 11). Die E-Mails der Anmeldung des Geschäftskontos – Bestätigung der Registrierung, „Passwort vergessen“ und Bestätigung einer neuen E-Mail-Adresse – verschickt die Authentifizierung von Supabase (siehe Ziffer 11), je nach Einrichtung über deren eigenen Versand oder über Resend. Absender von Buchungs-E-Mails ist eine Adresse unserer Domain mit dem Namen des Geschäfts („… via Beepointly“); Antworten gehen an das Geschäft.

Verarbeitet werden Empfängeradresse, Inhalt und Versandstatus. Empfängeradresse und Inhalt der Nachrichtenaufträge löschen wir nach 30 Tagen; den reinen Versandnachweis (Art der Nachricht, Zeitpunkt, Status) bewahren wir 13 Monate auf, um Zustellprobleme und Beschwerden klären zu können. Wir versenden keine Werbe-E-Mails und keinen Newsletter.

8. Abonnement und Zahlung

Geschäfte können Beepointly nach einer Testphase im Abonnement nutzen. Für die Vertragsdurchführung verarbeiten wir Vertrags- und Abrechnungsdaten (Art. 6 Abs. 1 lit. b und lit. c DSGVO in Verbindung mit den steuer- und handelsrechtlichen Aufbewahrungspflichten). Die Zahlungsabwicklung über einen Zahlungsdienstleister ist noch nicht freigeschaltet; vor ihrer Einführung ergänzen wir diese Erklärung um den Anbieter und die verarbeiteten Daten.

9. Cookies und Speicherung im Browser

Wir setzen ausschließlich Cookies und Browser-Speichereinträge ein, die für den von Ihnen ausdrücklich gewünschten Dienst unbedingt erforderlich sind (§ 25 Abs. 2 Nr. 2 TDDDG). Eine Einwilligung ist dafür nicht erforderlich; deshalb zeigen wir kein Cookie-Banner. Die Website selbst setzt keine Cookies.

• sb-…-auth-token (Cookie): Anmeldung im Geschäftskonto (Sitzung der Authentifizierung, ggf. in mehrere Teile aufgeteilt). Dauer: bis zur Abmeldung bzw. Ablauf der Sitzung.
• sb-…-auth-token-code-verifier (Cookie): Sicherheitsnachweis (PKCE) zwischen dem Start einer Anmeldung mit Google bzw. einer Registrierung und dem Aufruf des Bestätigungslinks im selben Browser; verhindert, dass ein abgefangener Link in einem fremden Browser eingelöst wird. Dauer: bis zum Einlösen des Links, längstens bis zur Abmeldung.
• bp_recovery (Cookie): Nachweis, dass gerade ein Link aus der E-Mail „Passwort vergessen“ eingelöst wurde; nur damit lässt sich ein neues Passwort ohne das bisherige festlegen. Signiert, an die Sitzung gebunden und nur auf der Seite „Neues Passwort“ lesbar. Dauer: 15 Minuten, nach dem Festlegen des Passworts gelöscht.
• bp_signup (Cookie): Zeigt nach der Registrierung die angegebene E-Mail-Adresse auf der Hinweisseite und erlaubt das erneute Senden der Bestätigungs-E-Mail; nur auf dieser Seite lesbar. Dauer: 15 Minuten.
• bp_onb_later (Cookie): Merkt, dass der Einrichtungs-Assistent später fortgesetzt werden soll. Dauer: bis zum Schließen des Browsers bzw. zur Abmeldung.
• sb_kunde (Cookie): Anmeldung von Kundinnen und Kunden auf der privaten Buchungsseite eines Geschäfts (nur für die Adresse dieses Geschäfts gültig). Dauer: höchstens 30 Tage oder bis zur Abmeldung.
• sb-theme (Lokaler Speicher): Gewählte Darstellung hell oder dunkel (nur wenn selbst umgeschaltet). Dauer: bis zum Löschen im Browser.
• beauty.calendar.* (Lokaler Speicher): Geöffnete oder geschlossene Seitenleisten im Kalender des Geschäftskontos. Dauer: bis zum Löschen im Browser.
• beauty.waitlist.dismissedCount (Lokaler Speicher): Ausgeblendeter Hinweis auf neue Wartelisteneinträge im Geschäftskonto. Dauer: bis zum Löschen im Browser.

Die anschließende Verarbeitung der Daten erfolgt nach Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Kontos bzw. der Buchung) oder Art. 6 Abs. 1 lit. f DSGVO (Merken Ihrer Einstellungen).

10. Keine Analyse- und Trackingdienste

Wir setzen keine Analyse-, Tracking- oder Werbedienste ein, keine Social-Media-Plugins und keine Reichweitenmessung. Es werden keine Nutzungsprofile erstellt. Sollte sich das ändern, holen wir vorher, soweit erforderlich, Ihre Einwilligung ein und passen diese Erklärung an.

11. Empfänger und Dienstleister

Wir setzen sorgfältig ausgewählte Dienstleister ein. Auftragsverarbeiter sind vertraglich nach Art. 28 DSGVO an unsere Weisungen gebunden. Eine Weitergabe an sonstige Dritte findet nur statt, wenn wir gesetzlich dazu verpflichtet sind.

• Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA – Hosting der Website und der Web-App, Auslieferung der Seiten, Serverfunktionen, Zugriffsprotokolle. Ort der Verarbeitung: Serverfunktionen in der Region Frankfurt am Main (fra1); Auslieferung statischer Dateien über ein weltweites Netz. Rolle: Auftragsverarbeiter.
• Supabase Inc., 970 Toa Payoh North #07-04, Singapur 318992 – Datenbank, Anmeldung (Authentifizierung) der Geschäftskonten, Datensicherungen, zeitgesteuerte Löschjobs. Ort der Verarbeitung: Rechenzentrum der Region eu-central-1 (Frankfurt am Main). Rolle: Auftragsverarbeiter.
• Plus Five Five, Inc. (Resend), 2261 Market Street #5039, San Francisco, CA 94114, USA – Versand von E-Mails (Buchungsbestätigungen, Erinnerungen, Verwaltungs- und Anmeldelinks, Konto-E-Mails). Ort der Verarbeitung: Versandregion EU (Irland), soweit im Konto eingestellt. Rolle: Auftragsverarbeiter.
• STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin, Deutschland – Registrierung der Domain, Namensauflösung (DNS) und, soweit genutzt, E-Mail-Postfach des Betreibers. Ort der Verarbeitung: Deutschland. Rolle: Auftragsverarbeiter.
• OpenStreetMap Foundation (Dienst „Nominatim“), St John’s Innovation Centre, Cowley Road, Cambridge, CB4 0WS, Vereinigtes Königreich – Einmalige Prüfung der Geschäftsadresse bei der Einrichtung eines Geschäftskontos. Ort der Verarbeitung: Vereinigtes Königreich und Server der OpenStreetMap Foundation. Rolle: eigenständiger Empfänger.

Geschäfte sehen die Daten der Kundinnen und Kunden, die bei ihnen buchen, in ihrem Konto. Daten werden nicht zwischen verschiedenen Geschäften ausgetauscht oder zusammengeführt.

12. Übermittlung in Drittländer

Unsere Daten liegen in Rechenzentren in Frankfurt am Main. Einige Dienstleister haben ihren Sitz oder Konzernbezug außerhalb der Europäischen Union; ein Zugriff von dort (zum Beispiel für Betrieb und Support) ist nicht auszuschließen. Wir haben dafür geeignete Garantien vereinbart:

• Vercel Inc.: US-Unternehmen: Angemessenheitsbeschluss EU-US Data Privacy Framework (sofern zertifiziert) und EU-Standardvertragsklauseln.
• Supabase Inc.: Unternehmen mit Sitz außerhalb der EU; Zugriffe aus Drittländern (Support, Betrieb) sind nicht auszuschließen: EU-Standardvertragsklauseln.
• Plus Five Five, Inc. (Resend): US-Unternehmen: Angemessenheitsbeschluss EU-US Data Privacy Framework (sofern zertifiziert) und EU-Standardvertragsklauseln.
• OpenStreetMap Foundation (Dienst „Nominatim“): Vereinigtes Königreich: Angemessenheitsbeschluss der EU-Kommission.

Eine Kopie der Standardvertragsklauseln stellen wir Ihnen auf Anfrage zur Verfügung.

13. Kalender-Abonnement für Geschäfte

Geschäfte können für jede Person im Team eine geheime Kalenderadresse erzeugen und in einem Kalenderprogramm (zum Beispiel Google Kalender, Apple Kalender oder Microsoft Outlook) abonnieren. Der Kalenderanbieter ruft die Termine dieser Person dann regelmäßig von unseren Servern ab. Wer die Adresse kennt, kann die Termine lesen; das Geschäft kann sie jederzeit erneuern oder widerrufen. Gespeichert wird bei uns nur ein Hashwert der Adresse.

Was übertragen wird, bestimmt das Geschäft über die Detailstufe: nur „Belegt“ mit Uhrzeit (Standard), zusätzlich die gebuchte Leistung, oder zusätzlich Ausführung, Zusätze, Buchungsnummer sowie der Kurzname der Kundin oder des Kunden (Vorname und Anfangsbuchstabe des Nachnamens). Telefonnummern, E-Mail-Adressen und Notizen werden nie übertragen.

Die Weitergabe an den gewählten Kalenderanbieter erfolgt auf Weisung des Geschäfts, das dafür verantwortlich ist. Der Kalenderanbieter verarbeitet die Daten nach seinen eigenen Bedingungen und gegebenenfalls in Drittländern (insbesondere USA). Geschäfte sollten die Detailstufe mit Kurznamen nur wählen, wenn sie das gegenüber ihrer Kundschaft vertreten können.

14. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Automatische Löschläufe in der Datenbank setzen folgende Fristen um:

• Nicht bestätigte Online-Buchungen: Löschung 24 Stunden nach Ablauf der Bestätigungsfrist.
• Bestätigungs-, Verwaltungs-, Einladungs- und Anmeldelinks sowie Kundensitzungen: Löschung 24 Stunden nach Ablauf, Nutzung oder Widerruf; Verwaltungslinks 24 Stunden nach Terminende.
• Schutz vor doppelter Absendung von Formularen: 15 Minuten. Zähler zur Missbrauchsabwehr: 24 Stunden.
• E-Mail-Aufträge: Empfängeradresse und Inhalt nach 30 Tagen, Versandnachweis nach 13 Monaten.
• Wartelisteneinträge: nach Ablauf (in der Regel 90 Tage), entfernte Einträge nach 7 Tagen.
• Protokoll sicherheitsrelevanter Vorgänge (ohne Kontaktdaten): 12 Monate.
• Termine und Kundenprofile: solange das Geschäft sie in seinem Konto führt. Löscht ein Geschäft ein Kundenprofil, werden die zugehörigen Termine anonymisiert.
• Nachweise über Einwilligungen und Bestätigungen (ohne IP-Adresse im Klartext): für die Dauer der zugehörigen Daten und darüber hinaus bis zum Ablauf der Verjährungsfristen.
• Geschäftskonto nach Vertragsende: Nach einer Übergangszeit von 30 Tagen, in der ein Export möglich ist, werden die Daten des Geschäfts gelöscht. Abrechnungsunterlagen bewahren wir entsprechend den gesetzlichen Fristen auf (bis zu zehn Jahre, § 147 AO, § 257 HGB).
• Selbst gelöschtes Geschäftskonto: 14 Tage nach dem Antrag, sofern nicht widerrufen (siehe Ziffer 4). Übrig bleiben nur ein Hashwert der Adresse der Buchungsseite, ein Löschprotokoll ohne Kontaktdaten sowie Abrechnungs- und Supportvorgänge ohne Zuordnung zum gelöschten Geschäft, soweit Aufbewahrungspflichten bestehen.
• Protokolle der Dienstleister: Die Anmeldeprotokolle der Authentifizierung (Supabase; Zeitpunkt, E-Mail-Adresse, IP-Adresse) und die Versandprotokolle des E-Mail-Dienstes (Resend) werden nicht mit dem Konto gelöscht, sondern nach den Aufbewahrungsfristen der Dienstleister bzw. unseren Einstellungen dort. Die genauen Fristen legen wir vor dem Start fest und nennen sie hier.
• Datensicherungen: Gelöschte Daten verbleiben bis zum Ablauf der Sicherungsfrist von 7 Tagen in den Sicherungen und werden dann überschrieben.

Stand der Fristenregelung: [AUSFÜLLEN: Datum der Freigabe der Löschfristen (G05)].

15. Ihre Rechte

Sie haben gegenüber dem jeweils Verantwortlichen folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO aus Gründen, die sich aus Ihrer besonderen Situation ergeben (Art. 21 DSGVO)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Für Daten aus Buchungen ist das jeweilige Geschäft Ihr Ansprechpartner; wir unterstützen das Geschäft bei der Bearbeitung. Für alle übrigen Daten wenden Sie sich bitte an [AUSFÜLLEN: Datenschutz-E-Mail, z. B. datenschutz@beepointly.de].

16. Beschwerderecht bei einer Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für uns zuständig ist:

[AUSFÜLLEN: Landesdatenschutzbehörde am Sitz (Name, Anschrift, Website)]

17. Pflicht zur Bereitstellung, keine automatisierte Entscheidung

Die Bereitstellung Ihrer Daten ist weder gesetzlich noch vertraglich vorgeschrieben. Ohne Name und E-Mail-Adresse können wir jedoch keine Buchung durchführen und ohne E-Mail-Adresse kein Geschäftskonto anlegen. Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt.

18. Datensicherheit

Alle Verbindungen sind per TLS verschlüsselt. Die Daten der Geschäfte sind in der Datenbank voneinander getrennt (Zeilenrechte je Geschäft). Passwörter, Links und Sitzungskennungen speichern wir nur als Hashwerte. Zugriffe auf Produktivsysteme sind auf den Betreiber beschränkt und durch starke Anmeldeverfahren geschützt.

19. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich unser Angebot oder die Rechtslage ändert. Stand: [AUSFÜLLEN: Stand der Rechtstexte (Datum)].