Datenschutzerklärung

Vassweb s. r. o., Identifikationsnummer (IČO) 56921021, mit Sitz in Školská 981/36, 931 01 Šamorín, eingetragen im Handelsregister des Bezirksgerichts Trnava, Abteilung Sro, Einlage Nr. 59422/T (nachfolgend „wir“). Kontakt für Fragen zum Datenschutz: podpora@terminuj.com.

• Daten der Terminuj-Nutzer (Inhaber, Administratoren und Mitarbeiter der Betriebe, Interessenten aus dem Kontaktformular): Verantwortlicher sind wir.
• Daten der Kunden der Betriebe (Personen, die über Terminuj einen Termin buchen): Verantwortlicher ist der Betrieb (Salon), bei dem sie buchen. Wir sind sein Auftragsverarbeiter nach Art. 28 DSGVO — wir verarbeiten die Daten nur nach seinen Weisungen auf Grundlage eines Auftragsverarbeitungsvertrags, nutzen sie nicht für eigene Zwecke und verkaufen sie nicht. Der Betrieb kann die Daten seiner Kunden jederzeit herunterladen (Kunden → Alles herunterladen).
• Reichweitenmessung öffentlicher Seiten (Startseite, Preise, Seiten der Betriebe /t/…; nur mit Ihrer Einwilligung, Vercel Web Analytics): Verantwortlicher sind wir, nicht der Betrieb — die Gesamtzahlen der Besuche des Dienstes Terminuj sehen nur wir, und wir verknüpfen sie nicht mit Buchungsdaten.

Nutzer (Inhaber, Administrator und Mitarbeiter des Betriebs):

• E-Mail (Authentifizierung)
• Name + Telefon (freiwillig — Profil)
• Sprache + Zeitzone (locale)
• Marketing-Einwilligung (Newsletter)
• IP-Adresse + User-Agent (Audit-Log — Sicherheit)
• Herkunft der Registrierung des Betriebs: Kampagnenparameter aus dem Link (utm_source, utm_medium, utm_campaign, utm_content, utm_term), der Aktionscode und ob es sich um einen Klick auf eine Meta- oder Google-Anzeige handelte (ohne Klick-Kennung) — zur Messung der Wirksamkeit unserer Werbung (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO). Ohne Cookies; gespeichert, solange der Betrieb besteht.
• Anmeldeschutz (wenn Sie ihn einschalten): die PIN nur als Einweg-Hash, der öffentliche Schlüssel von Face ID / Fingerabdruck (Passkey) und der Gerätename; in der App angemeldete Geräte (Name, Plattform, Token für Benachrichtigungen); Abonnements für Browser-Benachrichtigungen (Adresse des Push-Dienstes, Browsertyp)
• Eingeladene Teammitglieder: E-Mail und Rolle aus der Einladung

Interessenten aus dem Formular auf der Terminuj-Website: Firma, Name, E-Mail, Telefon, Branche, Anzahl der Personen, Nachricht, Herkunft des Links (UTM) und gekürzte IP-Adresse (/24) — zur Beantwortung der Anfrage (Art. 6 Abs. 1 lit. b DSGVO, vorvertragliche Maßnahmen).

Kunden der Betriebe (die einen Termin buchen) — von uns als Auftragsverarbeiter des Betriebs verarbeitet:

• Name, E-Mail, Telefon (Buchungsablauf)
• Buchungsverlauf (Daten, Leistungen, Preise)
• Freiwillige Anmerkung zur Buchung
• Schlagwörter und Notizen des Teams (fügt der Betrieb hinzu, der Kunde sieht sie nicht)
• Eintrag über die Erstellung der Buchung (Audit-Log): E-Mail, IP-Adresse, Browsertyp (User-Agent) und die Quelle, von der Sie gekommen sind (UTM-Parameter aus dem Link, sofern der Link sie enthielt)

Wenn Sie im Cookie-Banner die Kategorie Analyse erlauben, messen wir auf den öffentlichen Seiten von Terminuj (Startseite, Preise, Hilfe, Rechtsseiten und Seiten der Betriebe /t/…) die Zahl der Besuche mit Vercel Web Analytics unseres Hosting-Anbieters Vercel Inc. In der angemeldeten Verwaltung, auf der Seite einer konkreten Buchung und im auf einer fremden Website eingebetteten Buchungsfenster findet keine Messung statt. Das Werkzeug verwendet keine Cookies, speichert nichts auf dem Gerät und erstellt kein Profil.

Beim Aufruf einer Seite werden erfasst: Zeitpunkt, Seitenadresse (andere Parameter als Kampagnenkennzeichen entfernen wir vor dem Senden), woher Sie kamen, Gerätetyp, Betriebssystem, Browser und ungefährer Standort (Land, Region, Stadt). Besucher werden nur über einen vorübergehenden Fingerabdruck (Hash) der Anfrage unterschieden, der nach 24 Stunden verworfen wird; die IP-Adresse wird zu den Einträgen nicht gespeichert. Wir sehen nur Gesamtzahlen der Besuche, keine einzelnen Personen.

Verantwortlicher: Vassweb s. r. o. (auch auf der Seite eines Betriebs — der Betrieb erhält diese Statistiken nicht); Vercel Inc. ist unser Auftragsverarbeiter. Rechtsgrundlage: Ihre Einwilligung — Art. 6 Abs. 1 lit. a DSGVO und § 109 Abs. 8 des slowakischen Gesetzes Nr. 452/2021 Z. z. über elektronische Kommunikation (das Skript sendet Daten aus dem Browser und braucht daher auch ohne Cookies eine Einwilligung; EDSA-Leitlinien 2/2023, Rn. 33). Ihre Einwilligung können Sie jederzeit über „Cookie-Einstellungen“ in der Fußzeile widerrufen; der Widerruf berührt nicht die Messung vor dem Widerruf.

Die App ist für Betriebe und ihr Team bestimmt. Ein Konto wird darin nicht angelegt. Bei der Anmeldung verarbeiten wir die E-Mail des Kontos; das Passwort wird in der App nicht gespeichert, im sicheren Speicher des Telefons bleibt nur ein Anmeldetoken. Bei einer neuen Buchung verarbeiten wir Name, E-Mail und Telefon des Kunden sowie die Anmerkung, die ein Mitarbeiter des Betriebs eingibt, zur Verwaltung der Buchungen des Betriebs.

Die App enthält keine Werbung und keine Analyse Dritter, verfolgt Sie nicht über Apps hinweg und liest weder Standort noch Kontakte oder Fotos aus dem Telefon. Die Löschung Ihres Kontos können Sie in der App unter Einstellungen oder per E-Mail an podpora@terminuj.com verlangen.

Die kostenlose Testphase gibt es für jeden Betrieb nur einmal. Damit sie nicht wiederholt in Anspruch genommen werden kann, verarbeiten wir bei der Registrierung eines Betriebs:

• Identifikationsnummer (IČO) — wir prüfen sie im öffentlichen Register (Register der juristischen Personen des Statistischen Amts der Slowakischen Republik, bei einer tschechischen IČO das Register ARES); an das Register geben wir nur die IČO weiter.
• Telefonnummer des Betriebs — wir prüfen sie mit einem SMS-Code (die SMS versendet der in Abschnitt 5 genannte SMS-Anbieter).
• IP-Adresse und Gerätedaten, die der Browser von sich aus sendet (Browser- und Systemtyp, Sprache). Wir speichern nichts auf dem Gerät und lesen nichts per Skript daraus aus.

Telefonnummer, IP-Adresse, Netzwerk und Gerätedaten speichern wir nicht in lesbarer Form, sondern nur als kryptografischen Einweg-Fingerabdruck (HMAC mit geheimem Schlüssel), zusammen mit der IČO und dem Datum der Registrierung. Stimmt ein Fingerabdruck mit einer früheren Testphase überein, markieren wir den Betrieb, und ein Mensch prüft ihn — automatisch wird nichts gesperrt. Hatte die IČO bereits eine Testphase, wird der Betrieb ohne Testphase angelegt.

Rechtsgrundlage: berechtigtes Interesse an der Verhinderung von Missbrauch der Testphase (Art. 6 Abs. 1 lit. f DSGVO, Erwägungsgrund 47). Wir speichern den Eintrag 12 Monate ab der Registrierung und löschen ihn danach automatisch (auch wenn Sie den Betrieb früher löschen). Dieser Verarbeitung können Sie unter podpora@terminuj.com widersprechen (Art. 21 DSGVO).

• Bereitstellung des Buchungsdienstes (Vertrag, Art. 6 Abs. 1 lit. b DSGVO)
• Buchhaltungs- und Steuerpflichten (rechtliche Verpflichtung — § 35 Abs. 3 des slowakischen Gesetzes Nr. 431/2002 Z. z. über die Rechnungslegung)
• Sicherheit (Audit-Log) — berechtigtes Interesse, Art. 6 Abs. 1 lit. f
• Verhinderung von Missbrauch der kostenlosen Testphase (IČO, geprüfte Telefonnummer, Fingerabdrücke von IP-Adresse und Gerät, Abschnitt 2c) — berechtigtes Interesse, Art. 6 Abs. 1 lit. f
• Übersicht über die Herkunft der Buchungen für den Betrieb (UTM-Parameter im Audit-Log) — berechtigtes Interesse, Art. 6 Abs. 1 lit. f
• Marketing (Newsletter und Angebote) — nur mit Einwilligung (Sie schalten sie unter Mein Konto ein)
• E-Mails zur kostenlosen Testphase an die Kontakt-E-Mail des Betriebs (Begrüßung, Tipp am 3. Tag, 4 Tage und 1 Tag vor dem Ende, nach dem Ende, Glückwunsch zur ersten Buchung) — Vertragserfüllung und berechtigtes Interesse, Art. 6 Abs. 1 lit. b und f; Tipps und Erinnerungen (3. Tag, 4 Tage vor dem Ende, erste Buchung) enthalten in jeder E-Mail einen Link zur Abmeldung mit einem Klick (§ 116 Abs. 15 des slowakischen Gesetzes Nr. 452/2021 Z. z.)
• Interne Übersicht der Betriebe für Vassweb — jeder Aufruf wird aus Sicherheitsgründen protokolliert (E-Mail, IP-Adresse, Browser) und nach 365 Tagen gelöscht; berechtigtes Interesse, Art. 6 Abs. 1 lit. f
• Zusammengefasste Besucherstatistik öffentlicher Seiten (Vercel Web Analytics) — nur mit Einwilligung, Art. 6 Abs. 1 lit. a DSGVO (Abschnitt 2a)

• Rechnungen (Buchungsbelege): 10 Jahre ab dem Ende des Jahres, in dem sie ausgestellt wurden (§ 35 Abs. 3 des slowakischen Gesetzes Nr. 431/2002 Z. z.). Auch nach der Löschung eines Betriebs bewahren wir sie bis zum Ablauf dieser Frist im Archiv auf und löschen sie danach.
• Buchungen und Daten der Kunden des Betriebs: solange das Konto des Betriebs besteht. Bei einem Kunden ohne Buchung und Besuch seit 36 Monaten anonymisieren wir Name, E-Mail, Telefon und Notizen; Buchungen, die vor dieser Frist endeten, verlieren ihre Notizen. Der Buchungseintrag (Datum, Leistung, Preis) bleibt ohne personenbezogene Daten erhalten.
• Protokoll der Aktivitäten im Konto (Audit-Log): 365 Tage (aus Sicherheitsgründen)
• Eintrag über das Anlegen des Betriebs und die Annahme der Allgemeinen Geschäftsbedingungen (Fassung, Zeitpunkt, IP-Adresse, Browsertyp): für die Dauer des Vertrags; er erlischt mit der Löschung des Betriebs
• Eintrag über die Erstellung der Buchung (Audit-Log): 365 Tage, danach löschen wir ihn — einschließlich der E-Mail des Kunden, der IP-Adresse, des Browsertyps und der UTM-Parameter
• Nicht abgeschlossener Einrichtungsassistent für den Betrieb: höchstens 30 Tage ab der letzten Änderung; nach dem Anlegen des Betriebs löschen wir ihn sofort
• Team-Einladungen: 30 Tage nach Ablauf oder Widerruf
• Nachweis Ihrer Wahl im Cookie-Banner: 4 Jahre (ohne IP-Adresse)
• Eintrag zur kostenlosen Testphase (IČO und Fingerabdrücke von Telefon, IP-Adresse, Netzwerk und Gerät, Abschnitt 2c): 12 Monate ab der Registrierung des Betriebs, danach löschen wir ihn
• Einträge über die Zustellung von Webhooks: 90 Tage
• Einträge über gesendete Benachrichtigungen: 90 Tage
• Anfrage aus dem Formular auf der Terminuj-Website: höchstens 12 Monate ab dem Absenden oder der Erledigung (je nachdem, was später eintritt), danach löschen wir sie. Auf Verlangen früher.
• Reichweitenmessung (nur mit Einwilligung): der Fingerabdruck des Besuchers (Hash) 24 Stunden, danach verwirft Vercel ihn; es bleiben nur Gesamtzahlen ohne IP-Adresse.
• Löschung eines Betriebs: 7 Tage zur Wiederherstellung, danach löschen wir alle seine Daten endgültig (außer Rechnungen im Archiv). Hat der Inhaber keinen anderen Betrieb, löschen wir auch sein Benutzerkonto und seine Anmeldung.
• Benutzerkonto: solange Sie es nutzen; Löschung auf Verlangen (Art. 17 unten) oder zusammen mit der Löschung des letzten Betriebs.

Wir verkaufen keine Daten. Verarbeitet werden sie nur von folgenden Anbietern (weitere Auftragsverarbeiter nach Art. 28 DSGVO), jeweils nur im Umfang ihrer Aufgabe:

• Supabase — Datenbank und Anmeldung; Daten in der EU (Frankfurt) gespeichert
• Vercel — Hosting der Anwendung; der Server läuft in der EU (Frankfurt). Nur mit Ihrer Einwilligung auch die Reichweitenmessung öffentlicher Seiten (Vercel Web Analytics, Abschnitt 2a) — Vercel Inc. (USA) kann sie auch in den USA verarbeiten
• Resend — Versand von E-Mails (Bestätigungen, Änderungen und Erinnerungen zu Buchungen, Anmelde-E-Mails)
• Stripe — Zahlungen für das Terminuj-Abonnement (Zahlungsportal Stripe Checkout und Kundenportal)
• Cloudflare, Inc. (USA) — Schutz der Formulare vor Bots (Cloudflare Turnstile) bei der Anmeldung, im Buchungsformular und im Anfrageformular: verarbeitet die IP-Adresse und technische Browserdaten nur, um Mensch und Bot zu unterscheiden
• Upstash, Inc. — Zähler zum Schutz vor Missbrauch (nur ein Fingerabdruck der IP-Adresse, einige Minuten bis Tage) und der Nachweis Ihrer Wahl im Cookie-Banner (ohne IP-Adresse, 4 Jahre)
• Push-Dienste von Apple, Google und Mozilla — Zustellung verschlüsselter Benachrichtigungen an das im Browser oder auf dem Telefon installierte Dashboard (den Inhalt können sie nicht lesen)
• Google (Google Ireland Ltd. / Google LLC) — nur wenn der Betrieb selbst seinen Google Kalender verbindet (Abschnitt 2d): Buchungen werden in sein eigenes Google-Konto geschrieben und die Zeiten seiner Termine gelesen
• BulkGate (TOPefekt s.r.o., Šumperk, Tschechien) — SMS-Bestätigungen, -Änderungen und -Erinnerungen zu Buchungen, wenn der Betrieb sie einschaltet

Mehrere dieser Anbieter sind Unternehmen mit Sitz in den USA. Soweit Daten außerhalb der EU/des EWR zugänglich sein könnten, ist die Übermittlung durch Standardvertragsklauseln nach dem Beschluss (EU) 2021/914 der Kommission oder durch das EU-US Data Privacy Framework geschützt.

• Art. 15 — Auskunft: eine Kopie aller Daten laden Sie unter Konto → Export personenbezogener Daten (/dashboard/account/export) herunter oder fordern sie per E-Mail an
• Art. 16 — Berichtigung: bearbeiten Sie Ihr Profil unter Mein Konto oder schreiben Sie dem Support
• Art. 17 — Löschung: E-Mail an podpora@terminuj.com. Wir erledigen den Antrag innerhalb von 30 Tagen (Art. 12 Abs. 3).
• Art. 18 — Einschränkung: Sie können die Einschränkung der Verarbeitung verlangen
• Art. 20 — Datenübertragbarkeit: laden Sie Ihre Daten über /dashboard/account/export herunter (Format JSON + CSV)
• Art. 21 — Widerspruch: der Verarbeitung auf Grundlage berechtigter Interessen (Sicherheitsprotokoll, Herkunft von Buchungen und Registrierungen, Schutz der Testphase) können Sie jederzeit unter podpora@terminuj.com widersprechen; Marketing-E-Mails schalten Sie unter Konto → Marketing-E-Mails oder über den Link in der E-Mail ab
• Art. 22 — automatisierte Entscheidungen: Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung treffen wir nicht automatisiert. Automatisch prüfen wir nur, ob die IČO bereits eine kostenlose Testphase hatte (Abschnitt 2c); dann wird der Betrieb ohne Testphase angelegt. Wenn Sie damit nicht einverstanden sind, schreiben Sie an podpora@terminuj.com — ein Mensch prüft es

Die Angabe einer E-Mail-Adresse ist Voraussetzung für den Vertragsschluss (ohne sie legen wir kein Konto an); die übrigen Profilangaben sind freiwillig.

Kunden der Betriebe machen diese Rechte gegenüber dem Betrieb (Salon) geltend, der Verantwortlicher für ihre Daten ist. Wenn Sie uns einen Antrag senden, leiten wir ihn unverzüglich an den Betrieb weiter und helfen ihm bei der Bearbeitung (Art. 28 Abs. 3 lit. e DSGVO).

Ohne Einwilligung verwenden wir nur notwendige Cookies und Browserspeicher: die Anmeldung des Betriebs (Supabase) und die Dashboard-Sperre mit Face ID / PIN (nur nach der Anmeldung), Ihre Wahl im Cookie-Banner, den von Ihnen gewählten hellen oder dunklen Modus (nur wenn Sie ihn ändern) und die Kontaktdaten aus der letzten Buchung, nur wenn Sie bei der Buchung „Meinen Namen, meine E-Mail und Telefonnummer in diesem Browser speichern“ ankreuzen. Die Link-Parameter (UTM) merken wir uns für die nächste Seite nur mit Ihrer Einwilligung (Analyse). Der Bot-Schutz Cloudflare Turnstile wird bei der Anmeldung und in Formularen geladen und verarbeitet technische Browserdaten nur, um Mensch und Bot zu unterscheiden (Abschnitt 5). Analyse- und Werbe-Cookies verwenden wir nicht. Nur mit Ihrer Einwilligung (Kategorie Analyse) messen wir die Besuche öffentlicher Seiten ohne Cookies mit Vercel Web Analytics (Abschnitt 2a); die Einwilligung widerrufen Sie über „Cookie-Einstellungen“ in der Fußzeile. Die vollständige Liste mit Zweck und Speicherdauer steht in der Cookie-Richtlinie.

Die Datenbank (Supabase) und der Anwendungsserver (Vercel) befinden sich in der EU (Frankfurt). Außerhalb der EU/des EWR (USA) können Daten verarbeiten: Stripe, Resend, Cloudflare, Upstash, Vercel Inc. (Messung nur mit Ihrer Einwilligung, Abschnitt 2a), Google (verbundener Kalender des Betriebs, Abschnitt 2d). Die Übermittlung ist durch das EU-US Data Privacy Framework (Beschluss (EU) 2023/1795 der Kommission) geschützt, sofern der Empfänger danach zertifiziert ist, andernfalls durch Standardvertragsklauseln (Beschluss (EU) 2021/914). Eine Kopie der Garantien senden wir Ihnen auf Anfrage zu.

Sie haben das Recht, sich bei einer Aufsichtsbehörde zu beschweren, insbesondere in dem EU-Mitgliedstaat Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes (Art. 77 DSGVO). In der Slowakei ist dies das Amt für den Schutz personenbezogener Daten der Slowakischen Republik (Úrad na ochranu osobných údajov SR):
dataprotection.gov.sk
Galvaniho 7/B, 821 04 Bratislava

Diese Erklärung kann aktualisiert werden. Über wesentliche Änderungen informieren wir Sie 14 Tage im Voraus per E-Mail. Fassung dieses Dokuments: 1.5 (gültig ab 6. November 2026; 1.4 und 1.3 ab 1. November 2026; 1.2 ab 22. Oktober 2026; 1.1 ab 20. Oktober 2026; 1.0 ab 7. Juni 2026).