Datenschutz Version 2026-08-19

Datenschutzerklärung

Der produktive Daten- und Vertragsstart ist technisch gesperrt, bis die vollständigen Angaben der rechtlich verantwortlichen Person oder Stelle im Impressum hinterlegt sind. Die Website darf bis dahin öffentlich angesehen werden; kommerzielle Buchungen und Abos werden bis zur Freigabe serverseitig blockiert.

1. Verantwortlicher

Verantwortlicher für die eigenen Verarbeitungen von SchnittZeit ist die im Impressum vollständig benannte natürliche oder juristische Person. Vor der kommerziellen Freigabe werden dort Name, ladungsfähige Anschrift und elektronische Kontaktmöglichkeit ergänzt.

2. Datenschutzrechtliche Rollen

Für Salon-Account, Vertragsverwaltung, Abrechnung, Systemsicherheit und den Betrieb der Plattform verarbeitet SchnittZeit personenbezogene Daten in eigener Verantwortlichkeit, soweit hierfür die Zwecke und Mittel selbst bestimmt werden. Soweit ein Salon über SchnittZeit Kunden-, Termin- oder Beschäftigtendaten für seinen eigenen Geschäftsbetrieb verarbeitet, ist der Salon grundsätzlich Verantwortlicher und SchnittZeit verarbeitet diese Daten nach dessen dokumentierter Weisung als Auftragsverarbeiter. Hierfür gilt der Vertrag zur Auftragsverarbeitung.

3. Verarbeitete Daten

Je nach Nutzung können insbesondere Name, E-Mail-Adresse, Telefonnummer, Salonname und Salonanschrift, Zugangsdaten in gehashter Form, E-Mail- Verifikationsstatus, technische Sitzungs- und Geräteinformationen, Leistungen, Mitarbeiterdaten, Arbeits- und Öffnungszeiten, Termin- und Stornodaten, freiwillige terminbezogene Notizen sowie Sicherheitsdaten verarbeitet werden. Beim Salon-Vertragsstart werden zusätzlich Unternehmerstatus, bestätigte Vertragsversionen, AVV-Version, Tarif, Preis, Testdauer und Bestätigungszeitpunkt protokolliert.

4. Zwecke und Rechtsgrundlagen eigener Verarbeitungen

Salon-Konten, Vertragsverwaltung und Abrechnung werden verarbeitet, soweit dies zur Durchführung eines Vertrags oder vorvertraglicher Maßnahmen erforderlich ist. Gesetzlich vorgeschriebene Nachweise und Aufbewahrungen erfolgen zur Erfüllung rechtlicher Pflichten. Sicherheits-, Missbrauchs-, Fehleranalyse- und Stabilitätsmaßnahmen können auf dem berechtigten Interesse an einem sicheren, zuverlässigen und missbrauchsresistenten Dienst beruhen. Einwilligungen werden nur dort als Rechtsgrundlage verwendet, wo eine Einwilligung tatsächlich erforderlich ist.

5. Salon-Kunden- und Termindaten

Für Daten, die ein Salon zur Durchführung seiner Termin- und Kundenbeziehungen verarbeitet, bestimmt grundsätzlich der Salon die datenschutzrechtliche Rechtsgrundlage. SchnittZeit verarbeitet solche Daten im Rahmen des AVV nur zur Bereitstellung der gebuchten Funktionen, zur Systemsicherheit und aufgrund dokumentierter Weisungen. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sollen nicht über SchnittZeit verarbeitet werden, sofern dies nicht zuvor gesondert rechtlich und technisch vereinbart wurde.

6. Anmeldung, E-Mail-Verifikation und Passwort-Wiederherstellung

Für neue Konten werden E-Mail-Verifikation und Passwort-Wiederherstellung über Supabase Auth abgewickelt. Hierfür werden insbesondere die Konto-E-Mail-Adresse, technische Authentifizierungsdaten und der Verifikationsstatus verarbeitet. Wiederherstellungs- und Bestätigungslinks sind sicherheitsrelevant und sollen nicht weitergegeben werden. Bei einer Passwortänderung werden bestehende SchnittZeit-Sitzungen beendet, sodass eine erneute Anmeldung auf den Geräten erforderlich ist.

7. Sitzungsverwaltung

SchnittZeit speichert serverseitig aktive Sitzungen mit Ablaufzeitpunkt, letztem Nutzungszeitpunkt und einer gekürzten Geräte-/Browserinformation. Eine IP-Adresse wird für die Sitzungsübersicht nicht im Klartext gespeichert; für Sicherheitszwecke kann ein nicht ohne Weiteres rückrechenbarer Hash verwendet werden. Nutzer können einzelne Sitzungen oder alle anderen Sitzungen selbst beenden.

8. Freiwillige WhatsApp-Buchungsbestätigungen

Kunden können ausdrücklich einwilligen, nach erfolgreich abgeschlossenen Buchungen eine WhatsApp-Bestätigung zu erhalten. Die Einstellung ist standardmäßig deaktiviert. Bei Aktivierung werden die angegebene WhatsApp-Nummer, Zeitpunkt und Version der Einwilligung sowie die für die Bestätigung erforderlichen Buchungsinformationen verarbeitet. Die Einwilligung kann jederzeit im Bereich „Konto & Sicherheit“ mit Wirkung für die Zukunft widerrufen werden. Die Funktion dient ausschließlich Buchungsbestätigungen und nicht Werbenachrichten.

Sobald der WhatsApp-Versanddienst produktiv verbunden ist, werden die für den Versand erforderlichen Daten an Meta/WhatsApp beziehungsweise den konkret eingesetzten WhatsApp-Business-Dienst übermittelt. Vor dieser technischen Verbindung erfolgt kein WhatsApp-Versand. Ein Ausfall des Versanddienstes ändert nichts an der Wirksamkeit einer bereits bestätigten Terminbuchung.

9. Zahlungsdaten und Stripe

Für Salon-Abos wird Stripe als Zahlungsdienstleister eingesetzt. Vollständige Karten- oder Bankdaten werden direkt in der von Stripe bereitgestellten Zahlungsoberfläche eingegeben und nicht in der SchnittZeit-Datenbank gespeichert. SchnittZeit erhält nur die für Vertrags- und Aboverwaltung erforderlichen Referenzen und Statusinformationen, etwa Stripe-Kunden- und Subscription-IDs, Zahlungsstatus und Abrechnungszeitraum.

10. Hosting, Datenbank und Auftragsverarbeiter

SchnittZeit nutzt Vercel für Hosting und Auslieferung der Webanwendung sowie Supabase für Datenbank-, Authentifizierungs-, Storage- und Backendfunktionen. Das produktive Supabase-Hauptprojekt ist in Central EU (Frankfurt / eu-central-1) angelegt. Soweit diese Anbieter personenbezogene Daten im Auftrag verarbeiten, gelten die jeweiligen vertraglichen Datenschutzregelungen und Auftragsverarbeitungsvereinbarungen. Die für Salon-Auftragsdaten eingesetzten Unterauftragsverarbeiter sind zusätzlich im AVV benannt.

11. Drittlandübermittlungen

Bei weltweit tätigen Infrastruktur-, Zahlungs- und Kommunikationsdienstleistern können Verarbeitungen außerhalb des Europäischen Wirtschaftsraums nicht vollständig ausgeschlossen werden. Soweit hierfür ein Übermittlungsmechanismus nach Kapitel V DSGVO erforderlich ist, werden die jeweils anwendbaren gesetzlichen und vertraglichen Garantien zugrunde gelegt.

12. Cookies und lokale Endgerätezugriffe

SchnittZeit verwendet technisch erforderliche Sitzungsmechanismen für Login, Sicherheit und ausdrücklich angeforderte Funktionen. Der aktuelle Produktstand enthält keine Google-Analytics-, Meta-Pixel- oder vergleichbare Marketing-Tracking-Integration. Soll später nicht notwendiges Tracking eingesetzt werden, wird dies erst nach gesonderter Prüfung und – soweit erforderlich – wirksamer Einwilligung aktiviert.

13. Speicherdauer, Export und Löschung

Personenbezogene Daten werden nur so lange gespeichert, wie sie für Konto, Vertrag, Terminabwicklung, Systemsicherheit, Support oder gesetzliche Nachweise benötigt werden. Nutzer erhalten im Konto einen strukturierten Datenexport und können ihr Konto selbst löschen. Bei Löschung eines Kundenkontos bleiben bereits bestehende Terminblöcke beim Salon nur soweit erforderlich bestehen und werden vom Kundenkonto getrennt sowie in den für die Terminplanung vorgesehenen Feldern anonymisiert. Gesetzliche Aufbewahrungs- und Nachweispflichten bleiben unberührt.

Besteht für einen Salon kein nutzbares Abo, fällt eine Zahlung aus oder wird das Abo gekündigt, wird der Salon sofort für die operative Nutzung und die öffentliche Auffindbarkeit gesperrt. Die Salon- und Zugangsdaten werden noch einen Kalendermonat zur möglichen Zahlungsreaktivierung vorgehalten. Bestätigt Stripe innerhalb dieser Frist wieder ein wirksames Abo, wird die Sperre aufgehoben. Andernfalls werden Salonprofil, Zugang, Bilder, Leistungen, Mitarbeitenden-, Termin- und zugehörige Betriebsdaten automatisiert aus den operativen Systemen gelöscht. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

14. Sicherheit

SchnittZeit verwendet insbesondere HTTPS/TLS, HttpOnly-Sitzungscookies, serverseitige Zugriffskontrollen, Rate-Limits, gehashte Passwörter, E-Mail- Verifikation, begrenzte parallele Sitzungen, Trennung von Browser- und Datenbankrechten, serverseitige Geheimnisverwaltung, restriktive Datenbankberechtigungen und signierte Stripe-Webhooks. Die technischen und organisatorischen Maßnahmen werden intern dokumentiert und risikoorientiert weiterentwickelt.

15. Betroffenenrechte

Betroffene können nach Maßgabe der DSGVO insbesondere Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit verlangen sowie einer auf berechtigten Interessen beruhenden Verarbeitung widersprechen. Soweit eine Verarbeitung auf Einwilligung beruht, kann diese für die Zukunft widerrufen werden. Bei Daten, die SchnittZeit ausschließlich im Auftrag eines Salons verarbeitet, ist der jeweilige Salon grundsätzlich erste Anlaufstelle; SchnittZeit unterstützt ihn im Rahmen des AVV.

16. Datenschutzverletzungen

Sicherheitsvorfälle werden nach einem dokumentierten Incident-Prozess bewertet, eingedämmt und protokolliert. Soweit SchnittZeit als Auftragsverarbeiter betroffen ist, wird der verantwortliche Salon unverzüglich informiert. Für eigene meldepflichtige Datenschutzverletzungen gelten die gesetzlichen Melde- und Benachrichtigungspflichten.

17. Automatisierte Entscheidungen

SchnittZeit trifft derzeit keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder vergleichbar erheblicher Wirkung im Sinne des Art. 22 DSGVO und erstellt kein entsprechendes Profiling.

18. Änderungen

Diese Erklärung wird angepasst, wenn sich Funktionen, Dienstleister, Datenflüsse oder gesetzliche Anforderungen ändern. Vertragsrelevante Fassungen werden versioniert. Bei wesentlichen Änderungen des AVV oder der Auftragsverarbeitung kann vor weiterer Nutzung eine erneute Bestätigung erforderlich werden.