Nagelhaft Nagelstudio
Termin buchen
Rechtliches

Datenschutzerklärung

Arbeitsfassung: Die markierten <platzhalter> müssen mit der tatsächlichen Praxis ergänzt werden. Angaben und Rechtsgrundlagen bitte vor Veröffentlichung prüfen lassen.

1. Verantwortliche Stelle

Ich, Patricia Worlitschek, betreibe das Nagelhaft Nagelstudio und bin für die Verarbeitung deiner personenbezogenen Daten verantwortlich.
Steinbrechergasse 22/6–8, 1220 Wien
E-Mail: info@nagelhaft.at

2. Terminbuchung

Termine buchst du über diese Website oder die Nagelhaft-App mit deinem Kundenkonto (siehe Punkt 4). Gespeichert werden der Termin, die gewählte Leistung und deine Kontodaten. Damit ich alle Termine an einem Ort habe, trage ich jeden Termin zusätzlich mit deinem Namen sowie Beginn und Ende in meinen Google-Kalender ein; Verschiebungen und Absagen werden dort nachgezogen. Weitere Angaben – E-Mail-Adresse, Telefonnummer, Notizen, Allergiehinweise oder Fotos – gehen nicht an Google. Näheres zu Google als Empfänger dieser Daten steht unter Punkt 4.6.

3. Cookies und eingebettete Inhalte

Diese Website verwendet keinen Cookie-Banner, weil sie keine Cookies setzt, die eine Einwilligung brauchen würden — keine Analyse-, Tracking- oder Werbe-Cookies, kein Besucherzähler, kein Retargeting. Das Einzige, was dein Browser bei einem normalen Seitenbesuch auf deinem Gerät ablegt, ist ein Anmelde-Token im lokalen Speicher (localStorage), wenn du dich für die Online-Buchung anmeldest — das ist technisch notwendig, um dich während des Buchens angemeldet zu halten, und fällt unter die Ausnahme für unbedingt erforderliche Speicherung (§ 165 Abs. 3 TKG bzw. Art. 5 Abs. 3 ePrivacy-Richtlinie), genau wie ein gewöhnliches Anmelde-Cookie. Mehr dazu in Punkt 4.

Schriftarten: Die Schriftarten (Playfair Display, Cormorant Garamond) liegen als Dateien direkt bei diesem Studio auf dem Server. Beim Laden einer Seite wird dafür keine Verbindung zu Google oder einem anderen Anbieter hergestellt — anders als bei der verbreiteten Einbindung über Google-Server, die laut Landgericht München I (Urteil vom 20.01.2022, Az. 3 O 17493/20) ohne Einwilligung gegen die DSGVO verstößt, weil dabei die IP-Adresse ungefragt an Google übertragen wird. Dieses Risiko besteht hier nicht.

Google Maps (Kontaktseite): Die Karte auf der Kontaktseite ist nicht automatisch eingebettet. Beim Aufruf der Seite siehst du zunächst nur einen Platzhalter mit dem Knopf „Karte laden" — es findet noch keine Verbindung zu Google statt. Erst wenn du diesen Knopf bewusst anklickst, wird die Karte von Google-Servern nachgeladen; dabei werden deine IP-Adresse und technische Informationen zur Anfrage an Google übermittelt, und Google setzt nach eigenen Angaben zu diesem Zeitpunkt mehrere Cookies auf deinem Gerät (u. a. für Voreinstellungen). Dein Klick auf „Karte laden" ist die Einwilligung zu dieser einen Datenübertragung; ohne diesen Klick bleibt die Karte ungeladen. Empfänger ist Google Ireland Limited (bei Datenübermittlung in die USA: Google LLC) als eigenständig Verantwortlicher; es gelten Googles Datenschutzerklärung und die dort beschriebenen Garantien für die Übermittlung in Drittländer (EU-Standard­vertrags­klauseln). Rechtsgrundlage für diese einzelne, von dir ausgelöste Übermittlung ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); du kannst sie jederzeit umgehen, indem du die Karte nicht lädst und stattdessen die Adresse in Punkt 1 nutzt.

Die Website verlinkt auf WhatsApp und das Instagram-Profil @nagelhaft. Sie bindet keinen Instagram-Feed ein. Erst wenn du einen solchen Link öffnest, wird eine Verbindung zum jeweiligen Anbieter hergestellt; für dessen Verarbeitung gelten die Datenschutzbestimmungen von WhatsApp und Instagram. Die Kommunikation und das Teilen von Nagelfotos über diese Dienste sind in Punkt 4.7 beschrieben.

Die Website lädt aktuelle Preise, freigegebene Galeriefotos und veröffentlichte Kundenbewertungen über die Nagelhaft-Schnittstelle auf nagelhaft.at. Dabei verarbeitet der Webserver technische Verbindungsdaten. Welche Zugriffsdaten dabei protokolliert werden und wie lange sie gespeichert bleiben: <platzhalter> (mit dem Webhoster abgleichen).

4. Kundenkonto (Nagelhaft-App und Online-Buchung)

Für die Nagelhaft-App (iPhone und Android) und für die Online-Buchung auf dieser Website legst du ein Kundenkonto an – es ist in beiden dasselbe. Die folgenden Punkte gelten für dieses Konto, egal ob du es in der App oder auf der Website nutzt.

4.1 Welche Daten verarbeitet werden

  • Kontodaten: Name, E-Mail-Adresse und – wenn angegeben – Telefonnummer und Adresse. Das Passwort wird ausschließlich als nicht rücklesbarer Hashwert gespeichert.
  • Passkeys: wenn du einen einrichtest, der öffentliche Schlüssel samt Kennung und der von dir vergebene Name – Näheres unter 4.3.
  • Apple- oder Google-Kennung: wenn du dich mit Apple oder Google anmeldest – Näheres unter 4.4.
  • Termine: gebuchte, verschobene und abgesagte Termine samt gewählter Leistung.
  • Besuchsverlauf: Datum, Leistung, Preis, Farb- und Designbeschreibung sowie Notizen zu einem Termin. Diese Einträge lege ich an.
  • Zahlungen: Betrag, Zahlart (bar, Karte oder Überweisung), Zahltag, bezahlte Leistung, gegebenenfalls verkaufte Produkte und Trinkgeld sowie die Nummer des Belegs. Ich trage jede Zahlung, die du im Studio leistest, in meine Buchhaltung ein – ohne deinen Namen. Die Zahlung ist nur mit deinem Konto verknüpft, solange es besteht.
  • Fotos: Bilder der fertigen Nägel, die ich dem jeweiligen Besuch zuordne. Eine Veröffentlichung in der öffentlichen Galerie oder auf Instagram erfolgt nur nach gesonderter Zustimmung; Näheres und offene Angaben stehen unter Punkt 4.7.
  • Hinweise zu Allergien und Unverträglichkeiten: nur, wenn du sie selbst einträgst oder mir nennst.
  • Erinnerungseinstellungen: ob du Terminerinnerungen per E-Mail, Push oder gar nicht möchtest sowie den gewählten Zeitpunkt.
  • Gerätekennung für Benachrichtigungen: das Push-Token deines Geräts, sofern du Push-Benachrichtigungen erlaubt hast. Es ist deinem Kundenkonto zugeordnet.
  • Kundenbewertungen: wenn du eine Bewertung einreichst, den Bewertungstext, die Sternebewertung und den Vornamen, der bei einer Veröffentlichung angezeigt werden kann.

Eine Kundenbewertung kannst du freiwillig in der App einreichen. Vor dem Einreichen weist die App darauf hin, dass sie mit deiner Zustimmung in der App und auf der Homepage erscheinen kann. Eine Bewertung veröffentliche ich erst nach meiner Prüfung. Angezeigt werden dein Vorname, dein Bewertungstext und deine Sternebewertung. Änderungen an einer bereits veröffentlichten Bewertung bleiben bis zur Prüfung unverändert; erst danach wird die neue Fassung übernommen. Wie die Zustimmung zur Veröffentlichung dokumentiert wird: <platzhalter>. Deine Bewertung und noch nicht veröffentlichte Änderungen werden bei einer Kontolöschung ebenfalls entfernt.

Die App verwendet keine Analyse-, Tracking- oder Werbedienste und gibt keine Daten zu Werbezwecken weiter.

4.2 Angaben zu Allergien und Unverträglichkeiten

Angaben zu Allergien und Unverträglichkeiten sind Gesundheitsdaten im Sinne von Art. 9 DSGVO. Sie werden nur benötigt, damit bei deiner Behandlung keine Produkte verwendet werden, die du nicht verträgst. Das Feld ist freiwillig – du kannst es leer lassen, jederzeit ändern oder leeren. Als Rechtsgrundlage ist eine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO vorgesehen. Wie diese Einwilligung vor dem Speichern eingeholt und dokumentiert wird: <platzhalter>. Die Einwilligung kannst du jederzeit für die Zukunft widerrufen; zum Widerruf kannst du das Feld leeren oder dich an info@nagelhaft.at wenden.

4.3 Anmeldung mit Passkey

Statt mit Passwort kannst du dich mit einem Passkey anmelden – per Face ID, Fingerabdruck oder Geräte-PIN. Dabei erzeugt dein Gerät ein Schlüsselpaar. Der geheime Teil verlässt dein Gerät bzw. deinen Passwort-Manager nie; bei mir gespeichert werden nur der öffentliche Schlüssel, eine Kennung des Passkeys, ein technischer Zähler, der von dir vergebene Name (z. B. „iPhone") sowie wann er eingerichtet und zuletzt genutzt wurde.

Dein Gesicht oder deinen Fingerabdruck bekomme ich nie zu sehen: Die Prüfung findet ausschließlich auf deinem Gerät statt, ich erfahre nur, dass sie geklappt hat. Speichert dein Gerät Passkeys geräteübergreifend (etwa im iCloud-Schlüsselbund von Apple oder im Google Passwortmanager), geschieht das bei dem jeweiligen Anbieter und nach dessen Bedingungen – ich habe darauf keinen Zugriff.

Wird ein neuer Passkey eingerichtet, bekommst du zur Sicherheit eine E-Mail. Entfernen kannst du Passkeys jederzeit in der App (Profil → Einstellungen → Passkeys verwalten) oder auf der Website (Termin buchen → Passkeys). Setzt du dein Passwort zurück, änderst du es oder löschst du dein Konto, werden alle Passkeys mit entfernt.

4.4 Anmeldung mit Apple oder Google

Du kannst dich auch mit deinem Apple- oder Google-Konto anmelden. Die Anmeldung selbst findet dann bei Apple bzw. Google statt, und dort gelten deren Datenschutzbestimmungen. Apple bzw. Google erfahren dabei, dass du dich bei Nagelhaft anmeldest.

Ich erhalte deine bestätigte E-Mail-Adresse (bei Apple auf Wunsch eine anonyme Weiterleitungsadresse) und eine Kennung, an der ich dein Konto beim nächsten Mal wiedererkenne. Apple schickt deinen Namen nur beim ersten Mal mit, Google bei jeder Anmeldung deinen Namen und den Link zu deinem Profilbild. Gespeichert wird davon nur der Name, einmalig beim Anlegen deines Kontos. Dein Apple- oder Google-Passwort bekomme ich nie, und deine Termine, dein Verlauf, deine Fotos und Allergiehinweise gehen dabei nicht an Apple oder Google.

4.5 Rechtsgrundlagen

  • Konto, Terminbuchung und Besuchsverlauf: Vertragserfüllung bzw. vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO).
  • Anmeldung mit Passkey, Apple oder Google: ebenfalls Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) – ob und womit du dich so anmeldest, entscheidest du selbst.
  • Allergiehinweise: ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO).
  • Fotos und Push-Benachrichtigungen: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), jederzeit widerrufbar.
  • Veröffentlichung eines Nagelfotos in der öffentlichen Galerie oder auf Instagram: gesonderte, freiwillige Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), jederzeit für die Zukunft widerrufbar.
  • Kommunikation über WhatsApp oder Instagram zu Terminen und Leistungen: Bearbeitung deiner Anfrage und vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO).
  • Freiwillige Terminerinnerungen per E-Mail oder Push: deine Auswahl des Kanals und des Zeitpunkts; standardmäßig sind Erinnerungen ausgeschaltet. Du kannst die Auswahl jederzeit in deinem Profil ändern oder widerrufen (Art. 6 Abs. 1 lit. a DSGVO).
  • Veröffentlichung deiner Kundenbewertung mit Vornamen, Text und Sternebewertung: deine Zustimmung (Art. 6 Abs. 1 lit. a DSGVO); du kannst sie für die Zukunft widerrufen.
  • Notwendige Nachrichten zu Buchung, Absage oder Verschiebung sowie Sicherheitsnachrichten zum Konto: Vertragserfüllung beziehungsweise berechtigtes Interesse an der Kontosicherheit (Art. 6 Abs. 1 lit. b beziehungsweise lit. f DSGVO).
  • Aufzeichnung und Aufbewahrung von Zahlungen und Belegen: gesetzliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO, §§ 131, 132 und 132a BAO).

4.6 Wo die Daten liegen und wer sie sonst noch sieht

Konto-, Termin- und Verlaufsdaten sowie die Fotos liegen auf dem Server meines Webhosters helloly GmbH (Rainerstrasse 25, A-4020 Linz, Österreich). Mit helloly besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Zugriff haben ich und die technische Betreuung des Studios. Der Server verarbeitet auch die technischen Anfragen der Website und der Schnittstelle. Welche Zugriffsdaten helloly protokolliert und wie lange diese gespeichert werden: <platzhalter>.

Zusätzlich werden Sicherungskopien mit Datenbankinhalten und Fotos auf einem Mac der technischen Betreuung und auf einem privaten Netzwerkspeicher abgelegt. Standort des Netzwerkspeichers und zugriffsberechtigte Personen: <platzhalter>. Auf dem Mac bleiben die 14 letzten Datenbankabzüge erhalten; auf dem Netzwerkspeicher werden grundsätzlich die letzten 30 täglichen Datenbankstände aufbewahrt. Fotos aus einer Sicherung bleiben nach ihrer Entfernung aus dem laufenden System noch erhalten, solange ein aufbewahrter Sicherungsstand sie enthält. Bei ausbleibenden erfolgreichen Sicherungsläufen kann sich die tatsächliche Speicherdauer verlängern.

Die Zahlungen liegen auf demselben Server. Für meine Steuererklärung gebe ich gegebenenfalls eine Auswertung aller Zahlungen eines Jahres an meine Steuerberatung weiter – ohne Namen und Kontaktdaten. Bei einer Prüfung dürfen auch die Finanzbehörden Einsicht nehmen.

Für meinen Terminkalender trage ich jeden Termin mit deinem Namen sowie Beginn und Ende in Google Kalender ein (siehe Punkt 2) – sonst nichts aus deinem Konto. Verantwortlich dafür ist Google Ireland Limited (Irland) bzw. Google LLC (USA); es gelten Googles eigene Data-Processing-Bedingungen samt EU-Standardvertragsklauseln für die Übermittlung in die USA.

Für Push-Nachrichten setze ich den Expo Push Notification Service (650 Industries, Inc., USA) ein, der Nachrichten an Apple beziehungsweise Google weiterreicht. Übertragen werden die Gerätekennung und der Nachrichtentext, bei einer Terminerinnerung zum Beispiel Terminzeit und Leistung. Push-Nachrichten erhältst du nur, wenn du sie auf dem Gerät erlaubst; die Einstellung für freiwillige Erinnerungen kannst du zusätzlich in deinem Profil ändern. Mit der Übermittlung in die USA gelten die dafür vorgesehenen Garantien, darunter EU-Standardvertrags- klauseln.

E-Mails versende ich über helloly. Dazu gehören notwendige Nachrichten wie Bestätigungs- und Sicherheitscodes, Buchungsbestätigungen sowie Informationen über Absagen und Verschiebungen. Eine zusätzliche Terminerinnerung per E-Mail wird nur versendet, wenn du diesen Kanal in deinem Profil einschaltest. Google Fonts und Google Maps erhalten die in Punkt 3 beschriebenen technischen Anfragedaten; die konkreten Angaben zu Empfänger, Rechtsgrundlage und Übermittlung sind noch zu ergänzen (<platzhalter>).

4.7 Kommunikation über WhatsApp und Instagram; Teilen und Veröffentlichen von Fotos

Du kannst mich für Fragen, Terminabsprachen und Nachrichten auch über WhatsApp unter +43 699 19089496 oder über Instagram unter @nagelhaft kontaktieren. Wenn du dort schreibst, verarbeitet der jeweilige Anbieter insbesondere deine Konto- und Verbindungsdaten sowie den Inhalt deiner Nachricht und eventuell mitgesendete Fotos oder Dateien. Ich erhalte die an mich gesendeten Inhalte und verwende sie, um deine Anfrage zu beantworten und den Termin oder die Leistung abzustimmen. Anbieter sind WhatsApp Ireland Limited (für die Region Europa) und Meta Platforms Ireland Limited (Instagram). Es gelten deren Datenschutzhinweise für WhatsApp und Instagram; diese informieren auch über die jeweilige Verarbeitung und mögliche Übermittlungen in Länder außerhalb des EWR. WhatsApp beschreibt persönliche Nachrichten und Anrufe als Ende-zu-Ende-verschlüsselt. Nach der Zustellung kann ich als Empfängerin die Nachricht lesen; ab dann verarbeite ich sie nach dieser Datenschutzerklärung.

In der App kannst du ein Nagelfoto über die Funktion „Teilen“ an eine andere App, zum Beispiel WhatsApp oder Instagram, übergeben. Das Foto wird erst weitergegeben, wenn du im Teilen-Menü selbst einen Dienst und gegebenenfalls einen Empfänger auswählst. Die App veröffentlicht Fotos nicht automatisch. Wenn du ein Foto versendest oder veröffentlichst, verarbeitet der von dir gewählte Dienst es nach seinen eigenen Datenschutzbestimmungen; Empfänger können es gegebenenfalls speichern oder weiterverbreiten.

Ich kann ausgewählte Fotos fertiger Nägel als Arbeitsbeispiele in der öffentlichen Galerie der Website und App oder auf Instagram zeigen. Das geschieht nur mit deiner vorherigen, gesonderten und freiwilligen Zustimmung; sie ist keine Voraussetzung für eine Behandlung. Welche Fotos und Kanäle die Zustimmung umfasst und wie sie festgehalten wird: <platzhalter>. Du kannst sie für die Zukunft jederzeit unter info@nagelhaft.at widerrufen. Ich entferne das Foto dann von meinen eigenen Kanälen. Bereits von anderen gespeicherte, kopierte oder weiterveröffentlichte Fassungen kann ich nicht zuverlässig zurückholen.

4.8 Wie lange ich speichere

Kontodaten, Termine, Verlauf und Fotos speichere ich, solange dein Konto besteht; Passkeys, bis du sie entfernst. Löschst du dein Konto, entferne ich diese Daten aus dem laufenden System. Kopien in den rotierenden Sicherungen werden nach den in Punkt 4.6 beschriebenen Fristen überschrieben und können bis dahin weiter enthalten sein.

Zahlungen (Betrag, Zahltag, Zahlart, Leistung, Belegnummer) muss ich steuerlich sieben Jahre aufbewahren (§ 132 BAO), länger nur, solange ein Abgabenverfahren läuft. Sie bleiben deshalb auch nach einer Kontolöschung erhalten – aber ohne Bezug zu dir: Beim Löschen wird die Verknüpfung mit deinem Konto aufgehoben, dein Name, deine Kontaktdaten und dein Verlauf werden nicht mit aufbewahrt.

Gerätekennungen für Benachrichtigungen lösche ich beim Abmelden oder wenn das Gerät nicht mehr erreichbar ist.

4.9 Konto löschen

Du kannst dein Konto jederzeit selbst in der App löschen: Profil → Konto löschen. Damit werden dein Zugang, deine Kontaktdaten, deine Termine, dein Verlauf, deine Fotos, deine Kundenbewertung einschließlich offener Änderungen, deine Passkeys und deine Gerätekennungen aus dem laufenden System entfernt. Das lässt sich nicht rückgängig machen. Kopien in Sicherungen werden nach deren turnusmäßiger Überschreibung entfernt. Die Zahlungen, die ich gesetzlich aufbewahren muss, bleiben ohne Bezug zu dir bestehen (siehe 4.8). Alternativ genügt eine formlose E-Mail an info@nagelhaft.at.

5. Deine Rechte

Du hast jederzeit das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit, ein Widerspruchsrecht sowie das Recht, erteilte Einwilligungen mit Wirkung für die Zukunft zu widerrufen. Schreib mir dazu einfach an info@nagelhaft.at – ich antworte innerhalb eines Monats.

Das Recht auf Löschung gilt nicht für Daten, die ich gesetzlich aufbewahren muss (Art. 17 Abs. 3 lit. b DSGVO) – das sind die Zahlungsaufzeichnungen, siehe 4.8.

Außerdem steht dir ein Beschwerderecht bei der österreichischen Datenschutzbehörde zu (Barichgasse 40–42, 1030 Wien, dsb@dsb.gv.at).

6. Kontakt für Datenschutzanliegen

Bei Fragen zum Datenschutz wende dich bitte an: info@nagelhaft.at