Datenschutzerklärung

1. Verantwortliche Stelle

WhaleByte Technologies
Deutschland
E-Mail: info@whalebyte.de

2. Wer wofür verantwortlich ist

• WhaleByte ist Verantwortlicher für diese Website, für Benutzerkonten und Verträge der Studios, für den Support und für den eigenen Vertrieb (Abschnitte 3 bis 5).
• Das jeweilige Studio ist Verantwortlicher für die Daten seiner Kundinnen und Kunden, also zum Beispiel für Buchungen, Kundenakten und Newsletter. WhaleByte verarbeitet sie als Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage eines Auftragsverarbeitungsvertrags (Abschnitt 6). Bitte richten Sie Anfragen zu diesen Daten direkt an das Studio. Erreichen sie uns, leiten wir sie an das Studio weiter.

3. Besuch der Website

• Server-Protokolle: Beim Aufruf verarbeitet unser Hosting-Anbieter Vercel IP-Adresse, Zeitpunkt, aufgerufene Adresse und Browserangaben, um die Website auszuliefern und abzusichern. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO).
• Missbrauchsschutz: Um das massenhafte Durchprobieren von Buchungscodes zu verhindern, zählen wir Anfragen auf öffentlichen Seiten je IP-Adresse. Dafür speichern wir bei Upstash nur einen Hash der IP-Adresse und einen Zähler (Art. 6 Abs. 1 lit. f DSGVO).
• Protokoll von Buchungsanfragen: Zur Fehlersuche speichern wir Inhalt und technische Angaben einer Buchungsanfrage einschließlich IP-Adresse (Art. 6 Abs. 1 lit. f DSGVO).
• Seitenstatistik: Für Buchungsseiten erfassen wir ohne Cookies und ohne IP-Adresse die aufgerufene Seite, den Gerätetyp und die zuvor besuchte Seite. So können Studios die Reichweite ihrer Seite einschätzen (Art. 6 Abs. 1 lit. f DSGVO).

4. Benutzerkonto, Vertrag und Support

• Konto & Login: Name, E-Mail-Adresse, Rolle und Anmeldedaten über unseren Anmeldedienst Clerk (Art. 6 Abs. 1 lit. b DSGVO).
• Studio- und Vertragsdaten: Firma, Anschrift, Telefon, Rechnungsadresse, Steuernummer und Tarif zur Vertragsdurchführung und zur Erfüllung steuer- und handelsrechtlicher Pflichten (Art. 6 Abs. 1 lit. b und c DSGVO).
• Zahlung des Abos: Name, E-Mail-Adresse, Rechnungs- und Zahlungsdaten über Stripe. Kartendaten erhalten wir selbst nicht (Art. 6 Abs. 1 lit. b DSGVO).
• Support & Systemmails: Name, E-Mail-Adresse und Inhalt Ihrer Anfrage sowie Einladungen und Kontomitteilungen (Art. 6 Abs. 1 lit. b DSGVO). Zur Fehlerbehebung können unsere Administratoren die Ansicht eines Studios aufrufen.

5. Vertrieb an Unternehmen

Um Studios als Kunden anzusprechen, speichern wir Firmen- und Ansprechpartnerdaten (Name, E-Mail, Telefon, Notizen) und bereiten teils eine private Beispiel-Buchungsseite vor. Die Daten stammen aus öffentlichen Quellen wie der Website und dem Impressum des Unternehmens oder aus dem direkten Kontakt. Öffentliche Website-Texte können wir mit dem KI-Dienst von Anthropic auswerten; dabei kann auch ein dort genannter Inhabername enthalten sein. Rechtsgrundlage ist unser berechtigtes Interesse an der Direktwerbung gegenüber Unternehmen (Art. 6 Abs. 1 lit. f DSGVO). Sie können jederzeit widersprechen, dann löschen wir die Daten umgehend.

6. Funktionen für Studios und deren Kundschaft

Die folgenden Verarbeitungen erfolgen im Auftrag des Studios, je nachdem, welche Funktionen es nutzt. Die Rechtsgrundlage legt das Studio als Verantwortlicher fest; in der Regel sind das Vertrag oder Vertragsanbahnung (Art. 6 Abs. 1 lit. b DSGVO), berechtigte Interessen (lit. f) oder Ihre Einwilligung (lit. a).

• Terminbuchung: Name, Telefonnummer, E-Mail-Adresse, Termine, gebuchte Leistungen und Notizen. Buchungsanfragen laufen über unsere Automatisierung (n8n).
• Benachrichtigungen: Buchungsbestätigungen, Terminerinnerungen und Absagen per E-Mail. Einige E-Mails enthalten Symbole, die beim Öffnen vom Dienst Icons8 geladen werden; dabei wird Ihre IP-Adresse übertragen, sofern Ihr E-Mail-Programm Bilder lädt.
• Mails an Bestandskunden: Studios können ihre Kunden per E-Mail um eine Bewertung bitten und auf ähnliche Leistungen hinweisen (§ 7 Abs. 3 UWG, Art. 6 Abs. 1 lit. f DSGVO). Darauf weisen wir beim Buchen und in jeder dieser E-Mails hin. Sie können jederzeit über den Abmeldelink oder direkt beim Studio widersprechen, ohne dass dafür andere als die Übermittlungskosten nach den Basistarifen entstehen. Wir speichern dazu den Zeitpunkt des Hinweises und eines Widerspruchs sowie, welche dieser E-Mails wann versendet wurde und ob danach ein Termin gebucht wurde. Terminbestätigungen und Erinnerungen an gebuchte Termine sind davon nicht betroffen.
• Anzahlungen und hinterlegte Karten: Fordert ein Studio eine Anzahlung oder eine hinterlegte Karte an, gehen Name, E-Mail-Adresse und Buchungscode an das Stripe-Konto des Studios. Die Zahlung läuft direkt zwischen Ihnen und dem Studio über Stripe; Kartendaten erhalten wir nicht. Das Studio kann festlegen, dass neue Kunden oder Kunden mit versäumten Terminen eine Anzahlung leisten.
• Anamnesebogen: Antworten, Einwilligungen, Name und Unterschrift. Diese Angaben können Gesundheitsdaten sein; sie werden nur mit Ihrer ausdrücklichen Einwilligung verarbeitet (Art. 9 Abs. 2 lit. a DSGVO), die Sie jederzeit gegenüber dem Studio widerrufen können. Unterschriebene Bögen werden nicht nachträglich verändert.
• Kundenakte und Fotos: Besuchsverlauf, Notizen und Vorher-Nachher-Fotos. Fotos liegen in einem nicht öffentlichen Speicher und werden nur über zeitlich begrenzte Links angezeigt; Metadaten wie der Aufnahmeort werden beim Hochladen entfernt.
• Stempelkarte & Wallet: Name und Stempelstand. Legen Sie die Karte in Google Wallet oder Apple Wallet ab, erhält der jeweilige Anbieter die Daten der Karte beziehungsweise bei Apple das Push-Token für Aktualisierungen.
• Rechnungen und Gutscheine: Rechnungsdaten, Beträge und Gutscheincodes. Rechnungen kann das Studio über sein eigenes E-Mail-Konto versenden.
• Bewertungen: Ihre Bewertung und Ihr Kommentar zu einem Termin.
• E-Mail-Marketing (paloma.): Name und E-Mail-Adresse der Empfänger sowie der Nachweis der Einwilligung (Zeitpunkt, IP-Adresse und Browserangaben der Bestätigung im Double-Opt-In-Verfahren, Art. 6 Abs. 1 lit. a DSGVO). Jede Mail enthält einen Abmeldelink; nach der Abmeldung wird nicht mehr versendet.
• TeamPilot: Name, E-Mail-Adresse, Arbeitszeiten, Urlaub und die Art einer Abwesenheit von Mitarbeitern des Studios, ohne Diagnosen.

7. Integration von Google-Diensten (Google Kalender, Gmail & Google API Nutzerdaten)

Nutzer können ihr Google-Konto optional mit WhaleByte verbinden, um Termine und Verfügbarkeiten zu synchronisieren und E-Mails über ihr eigenes Konto zu versenden (Art. 6 Abs. 1 lit. a und b DSGVO).

7.1 Erfasste Daten & OAuth-Berechtigungsbereiche (Scopes)

• Verwendete API-Bereiche: auth/calendar.events für den Kalender; nur wenn zusätzlich der E-Mail-Versand verbunden wird auch auth/gmail.send und auth/userinfo.email.
• Zweck des Zugriffs: Das automatisierte Erstellen, Anzeigen, Aktualisieren und Löschen von Kalenderterminen, die über WhaleByte gebucht oder verschoben werden, sowie das Auslesen von Belegungszeiten, um Doppelbuchungen zu verhindern. Mit gmail.send versenden wir ausschließlich die von Ihnen veranlassten E-Mails, zum Beispiel Rechnungen; Ihr Postfach wird nicht gelesen.
• Verarbeitete Daten: Termin-Titel, Start- und Endzeitpunkt, Termin-Status, Kalender-ID, die E-Mail-Adresse des verbundenen Kontos und OAuth-Zugangsdaten. Private Kalenderdetails oder Notizen außerhalb der gebuchten Termine werden nicht dauerhaft ausgewertet.

7.2 Weitergabe, Übertragung und Offenlegung von Google-Nutzerdaten (Sharing & Disclosure)

• Keine Weitergabe an Dritte: Wir geben Google-Nutzerdaten nicht an Dritte weiter, außer an weisungsgebundene technische Dienstleister (Auftragsverarbeiter wie unsere Hosting- und Datenbank-Infrastruktur), soweit dies für den Dienst technisch erforderlich ist.
• Kein Verkauf von Daten: Google-Nutzerdaten werden nicht an Datenhändler oder sonstige Dritte verkauft oder lizenziert.
• Keine Nutzung für Werbung: Google-Nutzerdaten werden nicht für Werbezwecke, Retargeting, personalisierte Anzeigen oder Marktforschung verwendet oder übertragen.
• Kein KI-Training: Google-Nutzerdaten werden nicht zur Entwicklung, zum Training oder zur Feinabstimmung von generalisierten Modellen der künstlichen Intelligenz (KI) oder des maschinellen Lernens (ML) verwendet.
• Kein menschlicher Zugriff: Mitarbeiter oder Auftragnehmer von WhaleByte sehen Ihre Google-Kalenderdaten nicht ein, es sei denn, Sie haben im Rahmen einer Support-Anfrage ausdrücklich eingewilligt, es ist aus Sicherheitsgründen erforderlich oder gesetzlich vorgeschrieben.

7.3 Aufbewahrung, Speicherdauer und Löschen von Google-Nutzerdaten (Retention & Deletion)

• Aufbewahrung & Speicherdauer: Wir speichern OAuth-Zugangsdaten sowie die Zuordnung gebuchter Termine zur Kalender-ID für die Dauer der aktiven Verknüpfung. Fällt eine Verbindung aus, werden die Zugangsdaten spätestens nach 30 Tagen geleert.
• Löschung durch den Nutzer: Sie können die Verbindung jederzeit in den WhaleByte-Einstellungen unter Einstellungen → Integrationen trennen. Damit werden die gespeicherten OAuth-Zugangsdaten aus unserer aktiven Datenbank gelöscht.
• Widerruf über Google: Sie können die Berechtigung auch direkt in Ihrem Google-Konto unter https://myaccount.google.com/permissions entziehen.
• Löschungsanfrage per E-Mail: Sie können die Löschung aller bei uns verarbeiteten Google-Nutzerdaten formlos per E-Mail an info@whalebyte.de anfordern. Wir führen sie innerhalb von maximal 48 Stunden durch und bestätigen Ihnen dies per E-Mail.
• Kontolöschung: Wird ein WhaleByte-Benutzerkonto gelöscht, werden auch die verknüpften Google-Nutzerdaten und Zugangsdaten entfernt.

8. Weitere optionale Verbindungen

Studios können außerdem Outlook/Microsoft 365, den iCloud-Kalender oder Zoom verbinden (Art. 6 Abs. 1 lit. b DSGVO). Dafür speichern wir die nötigen Zugangsdaten, bei iCloud Apple-ID und app-spezifisches Passwort, und tauschen Termindaten mit dem jeweiligen Anbieter aus. Bei Microsoft umfasst die Berechtigung Kalender und E-Mail (Calendars.ReadWrite, Mail.ReadWrite, Mail.Send); genutzt wird sie für den Kalenderabgleich und den Versand von E-Mails. Die Verbindungen lassen sich jederzeit unter Einstellungen → Integrationen trennen.

9. Empfänger und Übermittlung in Drittländer

Wir geben Daten nur an die folgenden Dienstleister weiter, soweit sie für die jeweilige Funktion nötig sind. Sie sind vertraglich gebunden, in der Regel als Auftragsverarbeiter; das gilt nicht für Icons8, von dem E-Mails lediglich Symbole laden. Außerdem geben wir Daten weiter, wenn wir gesetzlich dazu verpflichtet sind.

Werden Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet, stützen wir uns auf geeignete Garantien nach Art. 44 ff. DSGVO: den Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework, soweit der Anbieter zertifiziert ist, oder EU-Standardvertragsklauseln. Auf Anfrage an info@whalebyte.de erhalten Sie weitere Informationen dazu.

10. Speicherdauer

Wir speichern Daten nur, solange es für den Zweck nötig ist oder das Gesetz es verlangt:

11. Cookies, lokale Speicherung & Karten

Wir setzen keine Cookies zu Analyse- oder Werbezwecken und binden keine Tracking-Dienste ein. Wir verwenden nur Cookies und lokale Speichereinträge, die für die Anmeldung oder eine von Ihnen gewählte Einstellung unbedingt erforderlich sind (§ 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. b und f DSGVO). Dafür ist keine Einwilligung nötig.

Google Maps: Auf Buchungsseiten zeigen wir den Standort des Studios erst, wenn Sie auf „Karte anzeigen“ klicken. Erst dann wird eine Verbindung zu Google Ireland Ltd. aufgebaut; dabei werden u. a. Ihre IP-Adresse übertragen und ggf. Cookies von Google gesetzt, auch eine Übermittlung in die USA ist möglich (EU-U.S. Data Privacy Framework). Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Die Zustimmung wird nur in Ihrem Browser gespeichert; Sie können sie widerrufen, indem Sie den lokalen Speicher dieser Seite löschen.

Bezahlseiten: Für Zahlungen leiten wir Sie zu Stripe weiter. Auf diesen Seiten gelten die Cookies und Datenschutzhinweise von Stripe.

Schriftarten liefern wir von unseren eigenen Servern aus; beim Seitenaufruf findet keine Verbindung zu Google Fonts statt.

12. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3). Die bis dahin erfolgte Verarbeitung bleibt rechtmäßig.

Kontakt: info@whalebyte.de. Außerdem können Sie sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), insbesondere an Ihrem Aufenthaltsort, Arbeitsplatz oder am Ort des mutmaßlichen Verstoßes.

13. Pflichtangaben und automatisierte Entscheidungen

Die Angaben, die für ein Konto oder eine Buchung als Pflichtfeld markiert sind, brauchen wir zur Durchführung; ohne sie ist die Registrierung oder Buchung nicht möglich. Darüber hinaus sind Sie nicht zur Angabe von Daten verpflichtet. Automatisierte Entscheidungen im Sinne von Art. 22 DSGVO, einschließlich Profiling, nehmen wir nicht vor.

14. Datensicherheit

Datenübertragungen sind per TLS verschlüsselt, die Datenbank ist auch im Ruhezustand verschlüsselt. Zugriffe sind nach Rollen beschränkt, und Mitarbeiter eines Studios sehen ausschließlich die Daten ihres eigenen Studios.

15. Änderungen

Wir passen diese Erklärung an, wenn sich unsere Dienste oder die Rechtslage ändern. Maßgeblich ist die hier veröffentlichte Fassung.