Datenschutzhinweise

§ 1 Verantwortliche

(1) Verantwortliche für die Verarbeitung deiner personenbezogenen Daten im Sinne der Datenschutz-Grundverordnung (DSGVO) bin ich: Evelin Shefer KittyDollStudios Wundtstraße 4, 14059 Berlin info@kittydollstudios.de

(2) Für Fragen zum Datenschutz oder zur Wahrnehmung deiner Rechte kannst du mich jederzeit unter der oben genannten Adresse erreichen.

§ 2 Allgemeines

(1) Ich verarbeite personenbezogene Daten meiner Kundinnen ausschließlich im Rahmen der geltenden datenschutzrechtlichen Vorschriften, insbesondere der DSGVO und des Bundesdatenschutzgesetzes (BDSG).

(2) Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen (Art. 4 Nr. 1 DSGVO).

(3) Diese Hinweise informieren dich darüber, welche Daten ich zu welchen Zwecken erhebe, an wen ich sie weitergebe, wie lange ich sie speichere und welche Rechte du hast.

§ 3 Welche Daten ich verarbeite

Je nach Kontakt und Behandlung verarbeite ich insbesondere folgende Daten:

• (1) Stammdaten: Vor- und Nachname, Anschrift, Telefonnummer, E-Mail-Adresse, Instagram-Name, Geburtsdatum (freiwillig)
• (2) Termin-/Buchungsdaten: gewählte Behandlung, Datum/Uhrzeit, Status, Buchungs- und Kommunikationsverlauf.
• (3) Kommunikationsinhalte aus E-Mail, Instagram-Direktnachricht und sonstigem Schriftverkehr.
• (4) Gesundheitsangaben (besondere Kategorien, Art. 9 DSGVO). Bei Wimpern: Allergien, Unverträglichkeiten, Augen-/Hauterkrankungen, Augenoperationen, Schwangerschaft/Stillzeit, Medikamente, Kontaktlinsen. Diese Angaben machst du freiwillig im Buchungsformular. Bei Permanent Make-up kommt ein eigener Gesundheits-Check dazu, den du vor Ort im Studio ausfüllst: Schwangerschaft/Stillzeit, blutverdünnende Medikamente, Blutgerinnungsstörungen, Einnahme von Isotretinoin, laufende oder kürzliche Chemo-/Strahlentherapie, Allergien gegen Pigmente, Nickel, Lokalanästhetika oder Latex, Epilepsie, Diabetes, Herzschrittmacher oder andere Implantate, Autoimmunerkrankungen, dauerhafte Kortison-/Immunsuppressiva-Einnahme, Neigung zu Keloiden, aktive Hauterkrankungen im Behandlungsbereich, frische Botox-/Filler-Behandlungen, eine HIV-, Hepatitis-B- oder Hepatitis-C-Infektion, eine akute Erkrankung am Termintag sowie deine Angaben zu weiteren regelmäßig eingenommenen Medikamenten oder Hormonpräparaten und zu weiteren Allergien. Nach der Behandlung halte ich außerdem fest, womit gearbeitet wurde (Nadel, Chargennummer und Farbe des Pigments) und ob es besondere Vorkommnisse gab. Alle diese Angaben werden verschlüsselt (AES-256) in meiner Datenbank (Supabase, Server Frankfurt/EU) gespeichert und getrennt von den übrigen Buchungsdaten besonders geschützt.
• (5) Nachweis- und Sicherheitsdaten (zur Abwehr von Missbrauch und zur Forderungssicherung): IP-Adresse, Browser-/Gerätekennung (User-Agent), eine clientseitig berechnete Geräte-Kennung, E-Mail-Qualitäts-Status, Adress-Plausibilitäts-Status, Geokoordinaten der angegebenen Adresse, grobe Herkunft der IP-Adresse (Land/Stadt) sowie ein technischer Hosting-/VPN-Indikator (aus dem öffentlichen Reverse-DNS-Eintrag der IP-Adresse, kein externer Dienst), Zeitstempel von Buchung und E-Mail-Bestätigung.
• (5a) Freiwillige Angabe, wie du auf mich aufmerksam geworden bist (Instagram, Google, Empfehlung, Sonstiges): Du wählst sie im Buchungsformular selbst aus, du kannst sie leer lassen. Ich nutze sie nur, um zu sehen, welcher Kanal Neukundinnen bringt.
• (6) Rechnungs-/Zahlungsdaten: Behandlungsdatum, Betrag, Zahlungsart; bei SEPA-Vorkasse Kontoinhaberin und IBAN.
• (7) Bildaufnahmen: a) zur internen Behandlungs- und Beweisdokumentation; b) für Werbung nur mit gesonderter Einwilligung.
• (8) Bei minderjährigen Kundinnen zusätzlich Kontaktdaten und Einwilligung der gesetzlichen Vertreter.
• (9) Ausfall- und Sperrlisten-Daten: ob ein Termin von mir als kurzfristige Absage oder als Nichterscheinen erfasst wurde. Trage ich dich zusätzlich in meine interne Sperrliste ein (§ 12 Abs. 2), speichere ich dort E-Mail-Adresse, die letzten acht Ziffern der Telefonnummer, Vor- und Nachname, Instagram-Name, Postleitzahl und Ort, die Geräte-Kennung und die IP-Adresse der Buchung sowie den Grund des Eintrags.

§ 4 Zwecke und Rechtsgrundlagen der Verarbeitung

• a) Terminvereinbarung, Kommunikation, Behandlung — Art. 6 Abs. 1 lit. b
• b) Rechnungsstellung, gesetzliche Aufbewahrung — Art. 6 Abs. 1 lit. c (§ 147 AO, § 257 HGB)
• c) Organisation/Betrieb — Art. 6 Abs. 1 lit. f
• d) Gesundheitsangaben zur sicheren Behandlung — Art. 9 Abs. 2 lit. a i. V. m. Art. 6 Abs. 1 lit. a (ausdrückliche Einwilligung: bei Wimpern über das Buchungsformular, bei Permanent Make-up über den Gesundheits-Check vor Ort im Studio); verschlüsselte Speicherung in meiner Datenbank
• e) Geburtstags-Gruß — Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an persönlicher Kundenbindung). Die Angabe des Geburtsdatums ist freiwillig und jederzeit widerrufbar.
• f) Missbrauchs-/Betrugsprävention und Forderungssicherung (IP, Geräte-Kennung, Bot-Schutz, E-Mail-/Adressprüfung) — Art. 6 Abs. 1 lit. f
• g) IT-Sicherheit, Stabilität, Server-Logs — Art. 6 Abs. 1 lit. f
• h) interne Bild-Beweisdokumentation — Art. 6 Abs. 1 lit. f
• i) Werbe-Fotos — Vorher-/Nachher-Aufnahmen deiner Behandlung, auch mit erkennbarem Gesicht, zur Veröffentlichung auf Instagram, TikTok und dieser Website; nur mit deiner Einwilligung, jederzeit mit Wirkung für die Zukunft widerrufbar — Art. 6 Abs. 1 lit. a sowie § 22 KunstUrhG
• j) Durchsetzung/Abwehr rechtlicher Ansprüche — Art. 6 Abs. 1 lit. b und lit. f
• k) Öffentliche Bewertungen — wenn du über die Bewertungs-Seite eine Bewertung abgibst, verarbeite ich deinen angegebenen Vornamen, deinen Bewertungstext und die Sternezahl (ein optionaler Instagram-Handle wird gespeichert, aber nicht öffentlich gezeigt) zum Zweck der öffentlichen Darstellung auf meiner Website — Art. 6 Abs. 1 lit. a (Einwilligung). Die Einwilligung ist jederzeit mit Wirkung für die Zukunft widerrufbar; auf Wunsch lösche ich deine Bewertung.
• l) Bewertungsanfrage nach dem Termin — hast du bei der Buchung eingewilligt, schicke ich dir zwischen 24 Stunden und 7 Tagen nach deinem Termin einmalig eine E-Mail mit der Bitte um eine Bewertung — Art. 6 Abs. 1 lit. a DSGVO und § 7 Abs. 2 Nr. 2 UWG. Deine Einwilligung speichere ich mit Zeitstempel und der Fassung des Einwilligungstextes, um sie nachweisen zu können (Art. 7 Abs. 1 DSGVO). Du kannst sie jederzeit mit Wirkung für die Zukunft über den Abmeldelink in dieser E-Mail widerrufen. Ohne Einwilligung bekommst du keine solche E-Mail; deine Terminbestätigungen bleiben davon unberührt. Eine Öffnungs- oder Klickmessung meiner E-Mails findet nicht statt.
• m) Aufruf des Bewertungslinks — der Link führt über eine Weiterleitung auf dieser Website zu Google. Dabei erfasse ich ausschließlich anonym, dass ein Klick auf die jeweilige Bewertungsquelle erfolgt ist, ohne Bezug zu deiner Person — Art. 6 Abs. 1 lit. f DSGVO (Erfolgsmessung eigener Maßnahmen). Nach der Weiterleitung verarbeitet Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, deine Daten eigenverantwortlich nach der Google-Datenschutzerklärung; darauf habe ich keinen Einfluss.

§ 5 Empfänger der Daten und Auftragsverarbeitung

(1) Deine Daten gebe ich nur weiter, soweit dies zur Erfüllung der Zwecke aus § 4 erforderlich ist oder du eingewilligt hast. Empfänger sind insbesondere:

• a) Vercel Inc. — Hosting (Server Frankfurt)
• b) Supabase Pte. Ltd (Singapur) — Datenbank; gespeichert wird auf Servern in Frankfurt, Gesundheitsangaben ausschließlich verschlüsselt (AES-256)
• c) Plus Five Five, Inc. (Marke „Resend“, USA) — E-Mail-Versand
• d) ImprovMX Incorporated (USA) — E-Mail-Weiterleitung für meine Domain; Daten von EU-Kundinnen werden auf Servern in Frankreich gespeichert
• e) Microsoft Ireland Operations Limited — Website-Analyse (Clarity), nur mit deiner Einwilligung, siehe § 5a
• f) OpenStreetMap Foundation (UK) — Adress-Plausibilität (ohne Name/E-Mail)
• g) Meta Platforms Ireland — nur bei Kommunikation über Instagram-Direktnachricht
• h) Steuerberater, Finanzbehörden, Rechtsanwälte, Inkasso, Gerichte — soweit erforderlich

(2) Die Anbieter unter a) bis d) verarbeiten die Daten in meinem Auftrag und nach meiner Weisung; mit ihnen bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO. Die Empfänger unter e) bis h) handeln dagegen in eigener Verantwortung; für sie gelten die jeweils eigenen Datenschutzhinweise sowie die gesetzlichen Verschwiegenheits- und Übermittlungspflichten.

(3) Das gilt ausdrücklich auch für Microsoft unter e): Microsoft gibt für Clarity selbst an, dabei nicht in meinem Auftrag, sondern als eigenständig Verantwortlicher zu handeln, und die erhobenen Daten auch für eigene Zwecke zu nutzen. Ich entscheide nur, ob Clarity auf dieser Website überhaupt eingebunden wird und in welchen Bereichen — was Microsoft anschließend mit den Daten macht, bestimmt Microsoft. Deshalb frage ich dich vorher um deine Einwilligung; Einzelheiten in § 5a.

§ 5a Cookies und lokale Speicherung

(1) Technisch notwendige Cookies und vergleichbare Speichertechniken setze ich immer ein. Eine Einwilligung ist hierfür nicht erforderlich (§ 25 Abs. 2 TDDDG).

(2) Im Einzelnen:

• a) Login-Session (Supabase Auth) — nur für meinen Admin-Zugang, nicht für Kundinnen.
• b) Hinweis-Speicher (lokale Speicherung „localStorage“) — merkt sich, dass dieser Hinweis bestätigt bzw. welche Cookie-Wahl getroffen wurde.

(3) Nur mit deiner Einwilligung setze ich zusätzlich Analyse-Cookies von Microsoft Clarity (Microsoft Ireland Operations Limited) ein: _clck (Laufzeit 1 Jahr) und _clsk (Laufzeit 1 Tag). Zweck ist nachzuvollziehen, wie Besucherinnen die Website nutzen (Mausbewegung, Klicks, Scrollverhalten als Heatmap und Sitzungsaufzeichnung), um die Website zu verbessern — Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Eine Sitzungsaufzeichnung ist keine anonyme Statistik: aufgezeichnet wird dein tatsächlicher Weg durch die Seite. Auf der Buchungsstrecke (/booking) läuft Clarity deshalb nicht, da dort Gesundheitsangaben erfasst werden. Getippter Text in Formularfeldern wird von Clarity automatisch maskiert. Microsoft ist für diese Verarbeitung eigenständig verantwortlich und nutzt die Daten auch für eigene Zwecke, etwa zur Verbesserung seiner Dienste; ich habe darauf keinen Einfluss. Microsoft verarbeitet die Daten auch in den USA; Grundlage dafür ist der Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework, für das Microsoft zertifiziert ist. Du entscheidest beim ersten Website-Besuch über den Cookie-Hinweis und kannst deine Wahl jederzeit über „Cookie-Einstellungen“ im Footer ändern bzw. widerrufen (Art. 7 Abs. 3 DSGVO); nach spätestens einem Jahr frage ich erneut.

(4) Ebenfalls nur mit deiner Einwilligung messe ich Reichweite und Ladezeiten der Website mit Vercel Web Analytics und Vercel Speed Insights (Vercel Inc., USA). Beide setzen keine Cookies und legen nichts auf deinem Gerät ab. Erfasst werden die aufgerufene Seite, die Verweisquelle, das Land, Gerätetyp und Browser sowie technische Messwerte zur Ladegeschwindigkeit. Eine Kennung zur Wiedererkennung innerhalb eines Tages wird serverseitig aus diesen Angaben abgeleitet und wechselt täglich; einzelne Personen kann ich damit nicht erkennen. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Vercel verarbeitet die Daten auch in den USA; Grundlage ist wie oben das EU-US Data Privacy Framework, für das Vercel zertifiziert ist. Deine Wahl im Cookie-Hinweis gilt für Absatz 3 und 4 gemeinsam und lässt sich jederzeit auf demselben Weg widerrufen.

§ 6 Übermittlung in Drittländer

Bei einzelnen Diensten kann ein Zugriff aus einem Drittland (insbesondere USA) nicht ausgeschlossen werden:

(1) Buchungsdaten und Gesundheitsangaben werden auf Servern in der EU gespeichert (Vercel Frankfurt, Supabase Frankfurt); Gesundheitsangaben zusätzlich verschlüsselt.

(2) Soweit ein Zugriff durch die US-Anbieter bzw. deren Mutterunternehmen nicht ausgeschlossen werden kann: – Vercel und Resend: EU-US Data Privacy Framework (Art. 45 DSGVO), ergänzt um Standardvertragsklauseln in den AVV. – Supabase und ImprovMX: Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) in den AVV; Speicherung bei Supabase in der EU (Frankfurt), bei ImprovMX in Frankreich. Vertragspartner ist bei Supabase eine Gesellschaft mit Sitz in Singapur, weshalb es dort keinen Angemessenheitsbeschluss gibt und ausschließlich die Standardvertragsklauseln greifen. – Meta und Microsoft handeln in eigener Verantwortung (§ 5 Abs. 2 und 3); sie stützen die Übermittlung in die USA auf das EU-US Data Privacy Framework, ergänzt um Standardvertragsklauseln.

(3) OpenStreetMap (UK): Angemessenheitsbeschluss der EU-Kommission (Art. 45).

§ 7 Speicherdauer

Ich speichere deine Daten nur so lange, wie es für die Zwecke aus § 4 erforderlich ist oder gesetzliche Aufbewahrungspflichten dies vorschreiben:

• (1) Stamm-, Termin- und Kommunikationsdaten: vier Jahre nach dem Termin. Das ist die gesetzliche Höchstdauer aus der Regelverjährung von drei Jahren, die erst mit dem Ende des Jahres zu laufen beginnt, in dem der Anspruch entstanden ist (§§ 195, 199 Abs. 1 BGB). Danach anonymisiere ich sie automatisch; der Termin bleibt ohne Personenbezug als Eintrag bestehen. Hab ich deine Daten als Bestandskundin aus meinen früheren Unterlagen übernommen, läuft die Frist ab der Übernahme.
• (2) Gesundheitsangaben (verschlüsselt): drei Jahre, danach automatische Löschung.
• (2a) Anamnese und Einwilligungen zum Permanent Make-up (verschlüsselt): zehn Jahre, danach automatische Löschung. Permanent Make-up durchdringt die Haut; Ansprüche wegen einer Verletzung von Körper oder Gesundheit verjähren unabhängig von meiner Kenntnis erst nach 30 Jahren (§ 199 Abs. 2 BGB). Ich bewahre diese Unterlagen zehn Jahre auf, um mich im Streitfall zur Aufklärung und zu deiner Einwilligung äußern zu können (Art. 9 Abs. 2 lit. f, Art. 6 Abs. 1 lit. f DSGVO).
• (3) Nachweis- und Sicherheitsdaten (IP-Adresse, Geräte-Kennung, Herkunftsland und -stadt, Hosting-/VPN-Indikator): vier Jahre, danach werden sie zusammen mit den Daten aus Absatz 1 automatisch entfernt.
• (4) Rechnungs- und Zahlungsdaten: mindestens acht Jahre, weil ich sie gesetzlich aufbewahren muss (§ 147 AO, § 257 HGB in der Fassung des Vierten Bürokratieentlastungsgesetzes). Ich lösche sie, sobald die Aufbewahrungspflicht entfallen ist und ich sie nicht mehr für Ansprüche benötige.
• (5) Nachweise über erteilte Einwilligungen und über den Versand meiner E-Mails: vier Jahre (§§ 195, 199 BGB), danach automatische Löschung.
• (6) Technische Sicherheitsprotokolle (etwa Sperren durch den Bot- und Missbrauchsschutz): 30 Tage. Server-Logs bei Vercel: ca. 30 Tage.
• (7) Werbe-Fotos, öffentliche Bewertungen und die Einwilligung in die Bewertungsanfrage: bis zum Widerruf deiner Einwilligung.
• (8) Sperrlisten-Einträge: Die Erkennungsmerkmale aus § 3 Abs. 9 lösche ich spätestens vier Jahre nach dem Eintrag automatisch. Der Vermerk im Kundendatensatz selbst bleibt bestehen, bis ich ihn aufhebe; du kannst ihm jederzeit widersprechen (Art. 21 DSGVO), ich prüfe ihn dann erneut.
• (9) Interne Beweisfotos: bis zum Ablauf der gesetzlichen Verjährungsfrist für Ansprüche aus der Behandlung (regelmäßig drei Jahre ab Ende des Jahres der Kenntniserlangung, §§ 195, 199 BGB), längstens jedoch fünf Jahre nach dem Termin; bei laufender Auseinandersetzung bis zu deren Abschluss.
• (10) Solange eine Forderung offen ist oder eine rechtliche Auseinandersetzung läuft, verlängern sich die Fristen aus den Absätzen 1, 3 und 5 bis zu deren Abschluss.

§ 8 Pflicht zur Bereitstellung

(1) Die Bereitstellung der für Termin, Behandlung und Abrechnung erforderlichen Daten ist notwendig. Ohne diese Daten kann kein Behandlungsvertrag zustande kommen.

(2) Die Angabe von Gesundheitsdaten ist freiwillig. Ohne relevante Angaben kann ich die Behandlung im Einzelfall aus Sicherheitsgründen nicht oder nur eingeschränkt durchführen.

(3) Die Erteilung der Einwilligung in die Anfertigung und Verwendung von Werbeaufnahmen ist freiwillig. Eine Verweigerung hat keinerlei Einfluss auf die Behandlung (Koppelungsverbot, Art. 7 Abs. 4 DSGVO).

§ 9 Deine Rechte

Dir stehen mir gegenüber die folgenden Rechte zu:

• a) Auskunft (Art. 15 DSGVO),
• b) Berichtigung (Art. 16 DSGVO),
• c) Löschung (Art. 17 DSGVO),
• d) Einschränkung der Verarbeitung (Art. 18 DSGVO),
• e) Datenübertragbarkeit (Art. 20 DSGVO),
• f) Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO),
• g) Widerruf von Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO),
• h) Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO, siehe § 10).

Zur Wahrnehmung dieser Rechte kannst du dich jederzeit formlos an mich wenden (Kontaktdaten siehe § 1). Bei minderjährigen Kundinnen können die Rechte auch durch die gesetzlichen Vertreter ausgeübt werden.

§ 10 Beschwerderecht

(1) Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere im Mitgliedstaat deines gewöhnlichen Aufenthalts, deines Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes (Art. 77 DSGVO).

(2) Für mich zuständige Aufsichtsbehörde ist:
Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI)
Alt-Moabit 59–61, 10555 Berlin
Telefon: 030 13889-0
E-Mail: mailbox@datenschutz-berlin.de
Internet: www.datenschutz-berlin.de

§ 11 Widerruf von Einwilligungen

(1) Soweit eine Verarbeitung auf einer Einwilligung beruht (insbesondere Gesundheitsdaten und Werbeaufnahmen), kannst du diese jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO).

(2) Der Widerruf kann formlos in Textform erfolgen, etwa per E-Mail an info@kittydollstudios.de.

(3) Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

§ 12 Automatisierte Entscheidung bei der Buchung

(1) Wenn du online buchst, prüft das System automatisch, ob ich in den letzten zwölf Monaten zwei oder mehr deiner Termine als kurzfristige Absage oder als Nichterscheinen erfasst habe. Abgeglichen werden dafür deine E-Mail-Adresse und deine Telefonnummer. Trifft das zu, lehnt das System die Online-Buchung ab. Grundlage dafür ist § 5 Abs. 8 meiner AGB. Ein einzelner Vorfall führt nicht automatisch zu einer Ablehnung.

(2) Zusätzlich gleicht das System deine Angaben mit einer internen Sperrliste ab. In diese Liste trage ich Kundinnen nur nach eigener Einzelfallentscheidung ein. Abgeglichen werden E-Mail-Adresse, Telefonnummer, Vor- und Nachname, Instagram-Name, Postleitzahl und Ort sowie die Geräte-Kennung. Die IP-Adresse allein führt nie zu einer Ablehnung, weil sie in Mobilfunk- und Firmennetzen von vielen Menschen geteilt wird.

(3) Zweck ist, wiederholte Terminausfälle und deren wirtschaftliche Folgen für mein Solo-Studio zu vermeiden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) sowie, soweit die Ablehnung den Vertragsschluss betrifft, Art. 22 Abs. 2 lit. a DSGVO.

(4) Die Ablehnung ist keine endgültige Entscheidung. In der Ablehnungsmeldung wirst du gebeten, mich direkt per Instagram-Direktnachricht zu kontaktieren; ich sehe mir den Fall dann persönlich an und kann den Termin manuell vergeben. Du hast das Recht, meine Entscheidung anzufechten, deinen Standpunkt darzulegen und ein Eingreifen durch mich als Person zu verlangen (Art. 22 Abs. 3 DSGVO).

(5) Eine darüber hinausgehende automatisierte Bewertung deiner Person, insbesondere ein Scoring oder eine Auswertung persönlicher Merkmale, findet nicht statt.

§ 13 Datenverarbeitung im Zusammenhang mit Gutscheinen

Beim Verkauf und der Einlösung von Gutscheinen verarbeite ich personenbezogene Daten, soweit dies zur Vertragsdurchführung, Gutscheinverwaltung, Zahlungsabwicklung sowie zur Erfüllung gesetzlicher Aufbewahrungspflichten erforderlich ist (Art. 6 Abs. 1 lit. b und lit. c DSGVO). Die Speicherdauer richtet sich nach § 7 Abs. 4 dieser Hinweise. Bei minderjährigen Kundinnen erfolgt die Verarbeitung im Zusammenhang mit Gutscheinen ausschließlich mit Zustimmung der gesetzlichen Vertreter.

§ 14 Datenverarbeitung bei minderjährigen Kundinnen

(1) Bei Kundinnen unter 18 Jahren verarbeite ich personenbezogene Daten nur mit Zustimmung der gesetzlichen Vertreter.

(2) Die Einwilligung der gesetzlichen Vertreter erfolgt in Textform (§ 126b BGB) entsprechend § 10 der AGB.

(3) Die in § 9 dieser Hinweise genannten Rechte können auch durch die gesetzlichen Vertreter ausgeübt werden.

§ 15 Aktualisierung dieser Datenschutzhinweise

(1) Diese Hinweise werden bei Änderungen der Verarbeitungspraxis oder der Rechtslage angepasst. Maßgeblich ist die jeweils aktuell auf der Website kittydollstudios.de oder im Studio einsehbare Fassung.

(2) Über wesentliche Änderungen, die deine Rechte betreffen, informiere ich aktiv im Rahmen der weiteren Kommunikation.