Datenschutz

Diese Erklärung beschreibt, welche personenbezogenen Daten beim Besuch dieser Website und bei der Terminbuchung verarbeitet werden, warum das geschieht und wie lange die Daten bleiben. Sie ist nach dem tatsächlichen Stand der Anwendung geschrieben, nicht nach einer Vorlage.

1. Verantwortliche Stelle

Ein Datenschutzbeauftragter ist nicht bestellt; die gesetzlichen Voraussetzungen dafür liegen bei einem Betrieb dieser Größe nicht vor.

2. Was diese Website nicht tut

Es ist einfacher, damit anzufangen, weil es die meisten Fragen schon beantwortet:

• Es werden keine Werbe- oder Analyse-Cookies gesetzt. Deshalb gibt es auch kein Einwilligungsbanner: Es gäbe nichts, worin einzuwilligen wäre.
• Es ist kein Analysedienst eingebunden: kein Google Analytics, kein Matomo, kein Pixel. Wie viele Menschen die Seite ansehen, zählt der eigene Server selbst und ohne Wiedererkennung (Abschnitt 4).
• Wer einen Termin gebucht hat, dessen Browser merkt sich den Link dazu auf dem eigenen Gerät, ohne Namen, ohne Auswertung, jederzeit mit einem Knopf auf der Terminseite zu entfernen (Abschnitt 8).
• Es sind keine Inhalte Dritter eingebunden: keine Karten, keine Videos, kein Instagram-Feed, keine Schriftarten von fremden Servern. Die verwendeten Schriften liegen auf demselben Server wie die Seite; beim Aufruf entsteht dadurch keine Verbindung zu Google oder einem anderen Anbieter.
• Es findet keine Profilbildung und keine automatisierte Entscheidung im Sinne von Art. 22 DSGVO statt.
• Daten werden nicht in Drittländer außerhalb der EU übermittelt.

3. Aufruf der Website (Server-Protokolle)

Beim Aufruf überträgt Ihr Browser technisch notwendige Angaben, die der Webserver protokolliert: IP-Adresse, Datum und Uhrzeit, die angeforderte Adresse, den Verweis auf die zuvor besuchte Seite, Browserkennung sowie den Antwortstatus.

Zweck ist der technische Betrieb und die Abwehr von Angriffen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt darin, die Seite betreiben und absichern zu können. Dauer: Die Protokolle werden nach 14 Tagen automatisch gelöscht.

4. Reichweitenmessung

Damit wir wissen, ob die Seite gefunden und benutzt wird, zählen wir Aufrufe selbst und auf unserem eigenen Server. Es ist kein fremder Dienst beteiligt, es werden keine Daten an Dritte übermittelt, und auf Ihrem Gerät wird dabei nichts gespeichert und nichts ausgelesen, weder ein Cookie noch ein Eintrag im Browserspeicher. Eine Einwilligung nach § 25 TDDDG ist dafür deshalb nicht erforderlich.

Gespeichert wird je Aufruf: Zeitpunkt, der aufgerufene Pfad, der Hostname der zuvor besuchten Seite (also etwa „instagram.com", nicht die vollständige Adresse und keine Suchbegriffe), daraus abgeleitet eine grobe Herkunftsgruppe („Soziale Netze", „Suchmaschinen", „Direkt", „Andere Seiten"), eine grobe Geräteklasse („Telefon", „Tablet", „Rechner"), das Betriebssystem in grober Form (iOS, Android, Windows, macOS, Linux), die Browserfamilie (Safari, Chrome, Firefox, Edge, Samsung sowie die eingebauten Browser von Instagram und Facebook) sowie ein Kennzeichen, ob der Aufruf von einer Suchmaschine kam.

Diese Angaben stehen in jedem Serverprotokoll und werden von sehr vielen Menschen geteilt. Es findet kein Fingerabdruck-Verfahren statt: Bildschirmmasse, Zeitzone, installierte Schriften, Grafikeinheit und ähnliche Merkmale werden nicht erhoben.

Enthält die aufgerufene Adresse eine Kampagnenmarkierung (utm_source, utm_campaign), wird deren Wert gespeichert, damit sich etwa der Verweis aus einem Profil von dem aus einer Story unterscheiden lässt. Übernommen werden dabei nur Kleinbuchstaben, Ziffern, Strich und Unterstrich, höchstens 40 Zeichen je Angabe; alle übrigen Parameter der Adresse werden verworfen.

Ihre IP-Adresse wird nicht gespeichert. Sie fließt zusammen mit der Browserkennung, einem geheimen Schlüssel und dem Tagesdatum in einen nicht umkehrbaren Hashwert. Dieser Wert erlaubt es, Aufrufe innerhalb eines Tages als einen Besuch zu zählen. Über den Tag hinaus ist er rechnerisch nicht mehr zusammenführbar: Am nächsten Tag ergibt derselbe Aufruf einen anderen Wert. Eine Wiedererkennung über mehrere Tage, eine Profilbildung oder ein Wiedererkennen auf anderen Websites sind damit ausgeschlossen, nicht bloß unterlassen.

Zusätzlich halten wir fest, welche Stationen des Buchungsformulars erreicht wurden (Formular geöffnet, Leistung gewählt, Tag gewählt, Uhrzeit gewählt, abgeschickt). Dabei werden keine Eingaben übertragen, nur dass der jeweilige Schritt erreicht wurde. Auch hier wird nichts auf Ihrem Gerät abgelegt.

Ebenfalls festgehalten wird, wie die Seite benutzt wird: welche Abschnitte der Startseite im Bild waren (Manifest, Arbeiten, Über mich, Termin buchen), welche benannten Schaltflächen angetippt wurden (Terminknopf, Telefonnummer, E-Mail-Adresse, Instagram, Kalenderdatei, Absagen), welche Leistung im Formular geöffnet wurde, wie weit gescrollt wurde (in Prozent) und wie lange die Seite sichtbar war (in Sekunden). Alle möglichen Bezeichnungen sind fest vorgegeben; freie Angaben können nicht übermittelt werden.

Was ausdrücklich nicht stattfindet: keine Aufzeichnung von Mausbewegungen, keine Klickkarten („Heatmaps"), keine Aufzeichnung des Bildschirminhalts, keine Auswertung Ihrer Eingaben und keine Zusammenführung mit den Daten einer Terminbuchung.

Ruft die Terminseite auf, wird nur „/termin" vermerkt; der Zugriffsschlüssel aus der Adresse wird nicht gespeichert.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt darin, den Betrieb der Website beurteilen und verbessern zu können; wegen der tagesweisen Pseudonymisierung ist der Eingriff gering. Dauer: Die einzelnen Einträge werden nach spätestens 400 Tagen gelöscht.

5. Terminbuchung

Wer über das Formular einen Termin anfragt, gibt an: Name und E-Mail-Adresse (beides erforderlich), Telefonnummer und Anmerkung (beides freiwillig) sowie die gewünschte Leistung und Uhrzeit.

Zusätzlich wird ein Prüfwert Ihrer IP-Adresse gespeichert, nicht die Adresse selbst, sondern ein nicht zurückrechenbarer Hashwert. Er dient allein dazu, massenhafte Falschbuchungen zu erkennen.

Zweck ist die Bearbeitung Ihrer Anfrage und die Durchführung des Termins. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen und Vertragserfüllung). Ohne Name und E-Mail-Adresse kann kein Termin bestätigt werden.

Dauer: Kundendaten werden automatisch anonymisiert, sobald alle Termine der betreffenden Person abgeschlossen und länger als 365 Tage her sind. Name, E-Mail und Telefonnummer werden dabei unwiderruflich überschrieben, ebenso Ihre Anmerkung. Ein täglicher Wartungslauf erledigt das. Steuerlich aufbewahrungspflichtige Belege bleiben davon unberührt und werden gesondert nach den Fristen der §§ 147 AO, 257 HGB aufbewahrt.

6. Newsletter

Wenn Sie sich für Neuigkeiten eintragen, werden Ihre E-Mail-Adresse, ein Prüfwert Ihrer IP-Adresse, Ihre Browserkennung und der Zeitpunkt gespeichert. IP-Prüfwert und Browserkennung dienen dem Nachweis, dass die Eintragung tatsächlich von Ihnen ausging.

Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Sie können sie jederzeit widerrufen. Eine formlose Nachricht an kontakt@clawcult.de genügt. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt davon unberührt. Nach dem Widerruf wird Ihre Adresse aus dem Verteiler entfernt.

7. Kontaktaufnahme per E-Mail oder Telefon

Wenn Sie sich unmittelbar melden, werden Ihre Angaben zur Bearbeitung Ihres Anliegens verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, sofern es um einen Termin geht, sonst Art. 6 Abs. 1 lit. f DSGVO. Die Nachrichten werden gelöscht, sobald das Anliegen erledigt ist und keine Aufbewahrungspflicht entgegensteht.

8. Cookies und lokale Speicherung

Für Besucherinnen und Besucher der Website werden keine Cookies gesetzt.

Eine einzige Ausnahme gibt es, und sie betrifft nur, wer tatsächlich einen Termin gebucht hat: Nach der Buchung legt der Browser den Link zum eigenen Termin im lokalen Speicher (localStorage) ab, damit der Termin auf der Startseite oben wiederzufinden ist. Gespeichert werden dabei ausschließlich der Link, der Beginn, der Name der Leistung und der Stand der Buchung, aber kein Name, keine Adresse, keine Telefonnummer.

Der Hintergrund: Der Link zum Termin geht genau einmal hinaus, nämlich mit der Eingangsbestätigung per E-Mail. Er lässt sich auch von uns nicht neu erzeugen. Wer die Nachricht löscht, käme sonst nicht mehr an seinen Termin. Der Eintrag ist damit erforderlich, um die Buchung als den vom Nutzer ausdrücklich gewünschten Dienst bereitzustellen (§ 25 Abs. 2 Nr. 2 TDDDG).

Der Eintrag verlässt das Gerät nicht, wird nicht ausgewertet und verschwindet von selbst, sobald der Termin vorbei oder abgesagt ist. Auf der Terminseite steht ein Knopf „Auf diesem Gerät entfernen", der ihn sofort löscht. Sinnvoll besonders auf einem geteilten Gerät.

Ein einziges Cookie entsteht im nicht öffentlichen Verwaltungsbereich, wenn sich das Studio dort anmeldet. Es enthält eine zufällige Kennung der Sitzung, ist gegen Auslesen durch Skripte geschützt (HttpOnly), wird nur über verschlüsselte Verbindungen übertragen (Secure), nicht an fremde Seiten mitgeschickt (SameSite=Strict) und verfällt nach Ablauf der Sitzung. Es ist für den Betrieb unbedingt erforderlich; nach § 25 Abs. 2 Nr. 2 TDDDG bedarf es dafür keiner Einwilligung.

9. Hosting

Die Website läuft auf einem eigenen Server bei der netcup GmbH, Daimlerstraße 25, 76185 Karlsruhe. Der Anbieter stellt die Infrastruktur bereit und wird als Auftragsverarbeiter nach Art. 28 DSGVO tätig; ein entsprechender Vertrag besteht. Die Daten werden in Deutschland verarbeitet.

10. Verweis auf Instagram

Diese Seite verlinkt auf ein Instagram-Profil, bindet aber keine Inhalte davon ein. Erst wenn Sie den Verweis anklicken, entsteht eine Verbindung zu Meta Platforms Ireland Ltd. Für die dortige Verarbeitung ist Meta verantwortlich; es gelten deren Datenschutzbestimmungen.

11. Datensicherheit

Die Verbindung ist durchgehend mit TLS verschlüsselt (erkennbar am Schloss in der Adresszeile). Zugangsdaten des Verwaltungsbereichs werden mit Argon2id gespeichert und sind auch bei einem Zugriff auf die Datenbank nicht zurückrechenbar; der Zugang ist zusätzlich durch eine Zwei-Faktor-Bestätigung geschützt. IP-Adressen werden ausschließlich als Prüfwert abgelegt. Die Datenbank ist nur lokal erreichbar, die Anwendung läuft unter eigener Kennung mit eingeschränkten Rechten.

12. Ihre Rechte

Sie haben jederzeit das Recht auf

• Auskunft über die zu Ihnen gespeicherten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen, die auf einem berechtigten Interesse beruhen (Art. 21 DSGVO),
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Eine formlose Nachricht an kontakt@clawcult.de genügt.

13. Beschwerderecht

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren. Zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 27, 91522 Ansbach.

14. Änderungen dieser Erklärung

Diese Erklärung wird angepasst, sobald sich die Verarbeitung ändert, etwa wenn Terminbestätigungen künftig automatisch per E-Mail verschickt werden. Es gilt jeweils die hier veröffentlichte Fassung.