1. Verantwortlicher

[Name / Firma des Betreibers], [Straße Hausnummer], [PLZ Ort] · E-Mail: [E-Mail für Datenschutzanfragen]

Datenschutzbeauftragte/r: [Datenschutzbeauftragte/r, falls benannt – sonst Abschnitt entfernen]

onpoint ist eine Software, mit der Betriebe (z. B. Tattoo-Studios, Friseure, Fahrschulen) Termine, Buchungen und Zahlungen verwalten. Für Daten, die du bei der Buchung bei einem Betrieb angibst, ist der jeweilige Betrieb Verantwortlicher; onpoint verarbeitet diese Daten in dessen Auftrag (Art. 28 DSGVO). Für Konten von Betrieben und für den Betrieb der Plattform selbst ist onpoint verantwortlich.

2. Welche Daten wir verarbeiten

• Buchungsdaten: Name, E-Mail, ggf. Telefon, Termin, Leistung, Notizen, gewählter Artist/Mitarbeiter.
• Bei Tattoo-Buchungen: Geburtsdatum (Altersnachweis 18+), Körperstelle, Größe, Motivbeschreibung und von dir hochgeladene Referenzbilder.
• Gesundheitsangaben (nur wenn der Betrieb sie abfragt, siehe Ziffer 4).
• Einwilligungen (AGB, Gesundheitsdaten) mit Zeitpunkt und Version.
• Zahlungsdaten zu Anzahlungen (über Stripe, siehe Ziffer 5) – Kartendaten erhalten wir nicht.
• Konto- und Anmeldedaten von Betrieben und Mitarbeitenden.
• Technische Daten beim Aufruf (IP-Adresse, Zeitpunkt, Browser) in Server-Logs des Hosters.

3. Zwecke und Rechtsgrundlagen

• Durchführung der Buchung und des Termins: Art. 6 Abs. 1 lit. b DSGVO.
• Altersprüfung und Nachweis von Einwilligungen: Art. 6 Abs. 1 lit. c und f DSGVO.
• Gesundheitsangaben: ausdrückliche Einwilligung, Art. 9 Abs. 2 lit. a DSGVO.
• Sicherer Betrieb der Plattform (Logs, Missbrauchsschutz): Art. 6 Abs. 1 lit. f DSGVO.

4. Gesundheitsdaten (Tattoo)

Tattoo-Studios können vor dem Termin Gesundheitsfragen stellen (z. B. Allergien, Medikamente/Blutverdünner, Schwangerschaft, Hauterkrankungen, Diabetes/Gerinnungsstörungen, Epilepsie, Alkohol). Die Angaben dienen ausschließlich deiner Sicherheit beim Stechen. Sie werden nur mit deiner ausdrücklichen Einwilligung gespeichert, sind nur für den Betrieb bzw. den zuständigen Artist sichtbar und werden mit der Buchung gelöscht (Ziffer 7). Du kannst die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen – über deinen Terminlink („Meine Daten löschen lassen“) oder direkt beim Studio.

5. Empfänger und Dienstleister

• Vercel Inc. (Sitz USA) – Hosting der Anwendung. Serverfunktionen laufen in der Region Frankfurt (fra1); hochgeladene Dateien (Vercel Blob) liegen ebenfalls in Frankfurt. Referenzbilder werden nicht öffentlich abgelegt und nur über eine Zugriffsprüfung ausgeliefert. Statische Inhalte werden über das weltweite Vercel-Netz ausgeliefert.
• Neon Inc. (Sitz USA) – Datenbank-Hosting; Serverstandort AWS Frankfurt (eu-central-1).
• Stripe Payments Europe Ltd. (Irland) – nur wenn ein Betrieb Online-Anzahlungen nutzt; Stripe verarbeitet Zahlungsdaten in eigener Verantwortung, Übermittlungen in die USA sind möglich.
• Google Ireland Ltd. – nur wenn ein Betrieb seinen Google Kalender verbindet oder sich mit Google anmeldet: Termine (Zeit, Titel) werden mit dessen Kalender synchronisiert; Übermittlungen in die USA sind möglich.

Datenbank, Dateien und Serverfunktionen liegen in der EU (Frankfurt). Da Vercel und Neon US-Unternehmen sind und Stripe/Google Daten in die USA übermitteln können, erfolgt eine etwaige Übermittlung auf Grundlage des EU-U.S. Data Privacy Framework bzw. von EU-Standardvertragsklauseln (Art. 45, 46 DSGVO). Mit allen Dienstleistern bestehen bzw. werden Auftragsverarbeitungsverträge geschlossen.

6. Cookies

Wir setzen nur technisch notwendige Cookies, insbesondere für die Anmeldung (Sitzungs-Cookie) und zum Schutz vor Missbrauch (§ 25 Abs. 2 TDDDG). Es findet kein Tracking zu Werbezwecken statt. Bei der Zahlung über Stripe gelten zusätzlich die Hinweise von Stripe.

7. Speicherdauer und Löschung

Referenzbilder, Gesundheitsangaben und Geburtsdatum werden automatisch gelöscht, sobald die vom Betrieb eingestellte Aufbewahrungsfrist nach dem letzten Termin abgelaufen ist (Standard: 12 Monate). Betriebe können Buchungsdaten und Kundendaten jederzeit vorher löschen. Daten, die wir aus steuer- oder handelsrechtlichen Gründen aufbewahren müssen (z. B. Zahlungsbelege), werden bis zum Ende der gesetzlichen Fristen gesperrt aufbewahrt.

8. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 15–21 DSGVO) sowie auf Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO). Wende dich dazu an den Betrieb, bei dem du gebucht hast, oder an [E-Mail für Datenschutzanfragen]. Du hast außerdem das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren.