🔒 Datenschutzerklärung

Stand: 09.06.2026 • Gemäß Art. 13, 14 DSGVO

1. Verantwortlicher

Ein gesetzlich vorgeschriebener Datenschutzbeauftragter ist bei uns nicht zu bestellen, da wir die Schwellenwerte des § 38 BDSG nicht erreichen. Bei Datenschutzfragen wende dich bitte direkt an die oben genannte E-Mail-Adresse.

2. Grundsätze der Datenverarbeitung

Wir verarbeiten personenbezogene Daten ausschließlich auf Basis einer der folgenden Rechtsgrundlagen nach Art. 6 DSGVO:

Rechtsgrundlage	Anwendungsfall
Art. 6 Abs. 1 lit. b (Vertragserfüllung)	Terminbuchung, Kassenabwicklung, Wallet, Anzahlungen
Art. 6 Abs. 1 lit. c (Rechtliche Verpflichtung)	Steuer- und Buchführungspflichten (§§ 146, 147 AO), Geldwäscheprävention
Art. 6 Abs. 1 lit. f (Berechtigtes Interesse)	Betrugspravention, Serverprotokollierung, interne Kommunikation
Art. 6 Abs. 1 lit. a (Einwilligung)	Cashback-Club-Mitgliedschaft, Marketing, digitale Wallet-Karten
Art. 9 Abs. 2 lit. a (Ausdrückliche Einwilligung)	Einverständniserklärungen für Tattoo- und Piercing-Behandlungen (Gesundheitsdaten)

3. Hosting & Server-Protokollierung

Unsere Website wird bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, auf einem dedizierten Server gehostet. Hetzner ist als Auftragsverarbeiter gemäß Art. 28 DSGVO mit uns vertraglich gebunden.

Automatisch gespeicherte Server-Logs

Bei jedem Seitenaufruf speichert der Webserver temporär folgende Daten im Serverlog:

• IP-Adresse (anonymisiert nach 7 Tagen)
• Datum und Uhrzeit des Zugriffs
• Aufgerufene URL, HTTP-Statuscode
• Übertragene Datenmenge
• Browser und Betriebssystem (User-Agent)
• Referrer-URL (die vorher besuchte Seite)

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit und Fehlerdiagnose). Speicherdauer: 14 Tage, danach automatische Löschung.

SSL/TLS-Verschlüsselung

Die gesamte Datenübertragung zwischen deinem Browser und unserem Server erfolgt verschlüsselt via TLS 1.2 / TLS 1.3 (HTTPS). Eine unverschlüsselte Übertragung ist technisch ausgeschlossen.

Cookies

Unsere öffentlichen Seiten (Terminbuchung, Wallet, Support) setzen ausschließlich funktional notwendige Session-Cookies, die mit dem Schließen des Browsers gelöscht werden. Es werden keine Tracking-, Analyse- oder Werbe-Cookies verwendet. Drittanbieter-Cookies entstehen nur, wenn du aktiv einen entsprechenden Dienst nutzt (z. B. Google Wallet-Link).

4. Terminbuchung

Wenn du einen Termin über unser Online-Buchungssystem unter /buchen/ anforderst, erheben und verarbeiten wir folgende Daten:

Datenkategorie	Zweck	Speicherdauer
Name, E-Mail, Telefonnummer	Terminbestätigung, Rückfragen, Erinnerungen	Laufzeit + 3 Jahre
Gewünschte Leistung, Artist-Präferenz, Terminwunsch	Buchungsverarbeitung, Kapazitätsplanung	Laufzeit + 3 Jahre
Anzahlungsnachweis	Zahlungsabwicklung, Storno-Policy	10 Jahre (§ 147 AO)
Gesundheitsbezogene Angaben (Einverständniserklärung)	Durchführung der Behandlung, Nachsorge	10 Jahre (Produkthaftung)

Terminerinnerungen

Ca. 48 Stunden vor deinem Termin senden wir dir automatisch eine Erinnerung per WhatsApp oder E-Mail sowie einen Link zur digitalen Einverständniserklärung. Diese Benachrichtigungen sind Bestandteil des Buchungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).

Storno- und Verschiebungsrichtlinie

Stornierungen oder Umbuchungen weniger als 72 bzw. 48 Stunden vor dem Termin können gemäß unserer Geschäftsbedingungen eine Bearbeitungsgebühr nach sich ziehen. Entsprechende Transaktionsdaten werden gespeichert, um diese Richtlinie durchzusetzen (Art. 6 Abs. 1 lit. b + lit. f DSGVO).

5. Kommunikation

WhatsApp

Wenn du uns über WhatsApp kontaktierst, verarbeiten wir deine Telefonnummer und den Inhalt deiner Nachrichten. WhatsApp wird von Meta Platforms Ireland Ltd., 4 Grand Canal Square, Dublin 2, Irland, betrieben. Nachrichten werden ende-zu-ende-verschlüsselt übertragen. Meta kann jedoch Metadaten (Zeit, Empfänger) erfassen — siehe dazu die WhatsApp-Datenschutzrichtlinie.

Wir nutzen ein lokal betriebenes Gateway (Beeper Desktop, ausschließlich auf unserem Server), um eingehende WhatsApp-Nachrichten mit unserem Studio-System zu verbinden. Deine Nachrichten werden nicht an Dritte weitergegeben.

KI-gestützte Erstantworten: Eingehende Nachrichten können automatisch durch ein KI-System vorverarbeitet werden (siehe Abschnitt 10). Du wirst durch den Geprächsverlauf erkennbar darüber informiert.

E-Mail

E-Mails, die du uns sendest, werden auf unserem Hetzner-Server empfangen und verarbeitet. Wir speichern E-Mails, soweit sie für die Vertragsabwicklung oder gesetzliche Aufbewahrungspflichten erforderlich sind (bis zu 10 Jahre).

Signal & Instagram

Wenn du uns über Signal oder Instagram kontaktierst, gelten die jeweiligen Datenschutzbestimmungen dieser Plattformen. Wir verarbeiten deinen Nachrichten-Inhalt und deine Kennung ausschließlich zur Beantwortung deiner Anfrage.

6. Kassensystem & Zahlungsabwicklung

Im Rahmen der Kassierung einer Leistung verarbeiten wir Transaktionsdaten gemäß den Anforderungen der Kassensicherungsverordnung (KassenSichV) und § 146a AO:

• Transaktionsbetrag, Zahlungsart (Bar, Karte, Wallet, Gutschein)
• Geleistete Leistung / Artikelbezeichnung
• Datum, Uhrzeit, Mitarbeiter-Kennung
• Kundennummer (intern), soweit vorhanden

Diese Daten sind steuerrechtlich vorgeschrieben und werden 10 Jahre aufbewahrt (§ 147 Abs. 1 AO). Eine frühere Löschung ist gesetzlich ausgeschlossen.

Kartenzahlung via SumUp

Kartenzahlungen werden über SumUp Payments Ltd., Block 8 Harcourt Centre, Dublin 2, Irland, abgewickelt. SumUp verarbeitet deine Kartendaten (PAN, Ablaufdatum) nach PCI-DSS-Standard. Wir erhalten lediglich eine Bestätigung der Transaktion und eine Kartennummer-Maske (letzte 4 Ziffern). Deine vollständigen Kartendaten werden von uns nicht gespeichert. Weitere Informationen: SumUp Datenschutz.

Online-Zahlung via Stripe

Für Online-Zahlungen (z. B. Wallet-Aufladung per Kreditkarte) verwenden wir Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland. Stripe verarbeitet deine Zahlungsdaten nach PCI-DSS-Standard. Wir erhalten nur Bestätigungsdaten, keine vollständigen Kartendaten. Weitere Informationen: Stripe Datenschutz.

7. Kunden-Wallet & Cashback-Club

Wir betreiben zwei digitale Wallet-Systeme:

Farbenwerk Wallet (Guthaben-Wallet)

Das Wallet ermöglicht dir, Kautionen digital zu verwalten, Guthaben anzusparen und Gutscheine einzulösen. Wir speichern dazu eine Transaktions-Ledger mit folgenden Daten: Betrag, Typ (Einzahlung/Abbuchung), Zeitstempel, Buchungsgrund und Kundennummer.

Wallet-Zugriff erfolgt über einen signierten, zeitlich begrenzten Link (HMAC-signiert). Ohne diesen Link ist kein Zugriff auf dein Wallet möglich.

Cashback-Club (Treueprogramm)

Wenn du am Cashback-Club teilnimmst (Einwilligung gem. Art. 6 Abs. 1 lit. a DSGVO), speichern wir: verdiente Cashback-Punkte pro Tattoo-Transaktion, aktuelles Guthaben, Tier-Stufe (Bronze/Silber/Gold/Platin) und Transaktionshistorie.

Hinweis: Cashback wird ausschließlich für Tattoo-Leistungen vergeben, nicht für Piercing, PMU oder Produktkäufe.

Du kannst deine Teilnahme am Cashback-Club jederzeit widerrufen. Dein bereits angesammeltes Guthaben bleibt bis zur Auflösung erhalten. Daten werden nach Programmende 3 Jahre für steuerliche Zwecke aufbewahrt.

8. Google Wallet & Apple Wallet

Auf deinen Wunsch hin können wir dir eine digitale Mitgliedskarte für Google Wallet oder Apple Wallet ausstellen.

Google Wallet

Die Karte wird von Google LLC (bzw. Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland) in deiner Google-Pay-Wallet gespeichert. Wir übermitteln dazu: Deinen Namen, Mitgliedsstatus und Guthaben. Google verarbeitet diese Daten nach seinen eigenen Datenschutzrichtlinien: policies.google.com/privacy.

Apple Wallet

Für Apple Wallet-Karten (.pkpass) übermitteln wir einen signierten Pass an dein Gerät. Der Pass wird lokal auf deinem iPhone gespeichert. Apple verarbeitet nur die zur Darstellung notwendigen Daten: apple.com/legal/privacy.

Die Ausstellung einer digitalen Wallet-Karte ist freiwillig und setzt deine ausdrückliche Anforderung voraus.

9. Google Calendar

Zur Terminverwaltung nutzen wir die Google Calendar API von Google Ireland Ltd. Termin-Daten (Datum, Uhrzeit, Leistungsart, interner Mitarbeiter-Code) werden mit unserem Google-Kalender synchronisiert. Persönliche Kundendaten (Name, Telefon) werden in Google Calendar nicht gespeichert — dort werden ausschließlich interne Buchungskennungen hinterlegt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Weitere Informationen: Google Datenschutz.

10. Künstliche Intelligenz (KI-System)

Wir setzen ein KI-System ein, um eingehende Nachrichten (WhatsApp, Instagram, E-Mail) zu klassifizieren und Erstentwurf-Antworten vorzubereiten. Das System nutzt folgende Dienste:

Dienst	Anbieter	Zweck
Gemini API	Google LLC	Nachrichtenklassifizierung, Antwortgenerierung
Lokales Ollama-Modell	Auf eigenem Server (Hetzner)	Offline-Klassifizierung ohne Datenweitergabe

Bei der Verarbeitung durch Gemini können Teile von Nachrichten an Google übermittelt werden. Wir haben dafür mit Google eine Auftragsverarbeitungsvereinbarung (DPA) geschlossen. Nachrichten werden nicht zum Training von KI-Modellen genutzt (API-Nutzungsbedingungen).

Recht auf menschliche Entscheidung: KI-generierte Antworten werden stets von unseren Mitarbeitern geprüft, bevor sie gesendet werden, oder sind klar als automatische Erstnachrichten erkennbar. Du kannst jederzeit verlangen, dass deine Anfrage ausschließlich von einem Menschen bearbeitet wird — schreib uns dazu einfach „Bitte kein KI“.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an effizienter Kommunikation). Speicherdauer für KI-Audit-Daten: 90 Tage.

11. Kiosk & Check-In

Unser Studio-Kiosk-Tablet ermöglicht dir, bei Ankunft selbstständig einzuchecken. Dabei werden verarbeitet:

• Dein Name oder deine Buchungsnummer (zur Terminverifizierung)
• Ein temporärer Check-In-PIN (16 Stunden gültig, danach automatisch gelöscht)
• Einverständniserklärungen (werden dem Termin zugeführt)

Gesundheitsdaten aus dem Einverständnisformular (Allergien, Medikamente, Schwangerschaft etc.) werden ausschließlich zur Durchführung der Behandlung und für eventuelle Nachsorge verarbeitet (Art. 9 Abs. 2 lit. a DSGVO) und 10 Jahre aufbewahrt (Produkthaftungsgesetz).

12. Kundensupport-Formular

Wenn du das Support-Formular unter /farbenwerk-support/ verwendest, verarbeiten wir:

• Name, E-Mail-Adresse, Telefon (optional)
• Betreff und Nachrichtentext
• IP-Adresse (für 24 Stunden, zum Schutz vor Missbrauch)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung) und lit. f (berechtigtes Interesse an Kundenkommunikation). Die Anfragen werden nach Erledigung (spätestens nach 2 Jahren) gelöscht, sofern keine gesetzliche Aufbewahrungspflicht besteht.

13. Minderjährige

Tattoo- und bestimmte Piercing-Leistungen setzen gemäß unseren Geschäftsbedingungen ein Mindestalter von 18 Jahren voraus. Solltest du jünger sein und eine Einverständniserklärung eines Erziehungsberechtigten benötigen, verarbeiten wir auch die Daten deines gesetzlichen Vertreters (Name, Unterschrift) auf der Grundlage von Art. 6 Abs. 1 lit. c DSGVO i.V.m. den einschlägigen Jugendschutzvorschriften.

14. Speicherdauer im Überblick

Datenkategorie	Speicherdauer	Grund
Server-Logs	14 Tage	Sicherheit, Fehleranalyse
Support-Anfragen	2 Jahre nach Erledigung	Vertragsanbahnung
Check-In PINs	16 Stunden	Automatisch gelöscht
KI-Audit-Daten	90 Tage	Qualitätssicherung
Buchungs- und CRM-Daten	3 Jahre nach letztem Kontakt	Geschäftsbeziehung
Kassendaten, Rechnungen	10 Jahre	§ 147 AO
Einverständniserklärungen (Gesundheitsdaten)	10 Jahre	Produkthaftungsgesetz
Loyalty-/Wallet-Transaktionen	3 Jahre nach Programmende	Steuerrecht

15. Weitergabe an Dritte

Deine Daten werden nicht verkauft oder zu Werbezwecken an Dritte weitergegeben. Eine Weitergabe erfolgt ausschließlich in folgenden Fällen:

• Auftragsverarbeiter: Hetzner (Hosting), Stripe (Zahlungen), SumUp (Kartenlesegerät), Google (Calendar, Wallet, Gemini), Apple (Wallet), Meta (WhatsApp) — jeweils auf Basis von Art. 28 DSGVO
• Steuerbehörden: Soweit gesetzlich verpflichtend (§ 93 AO)
• Strafverfolgung: Nur auf richterliche Anordnung

Alle Auftragsverarbeiter wurden sorgfältig ausgewählt und sind vertraglich verpflichtet, deine Daten nur gemäß unseren Weisungen zu verarbeiten.

16. Deine Rechte

Du hast gegenüber uns folgende Rechte:

Recht	Rechtsgrundlage	Bedeutung
Auskunft	Art. 15 DSGVO	Welche Daten wir über dich gespeichert haben
Berichtigung	Art. 16 DSGVO	Korrektur unrichtiger Daten
Löschung	Art. 17 DSGVO	„Recht auf Vergessenwerden“ (soweit nicht Aufbewahrungspflichten entgegenstehen)
Einschränkung	Art. 18 DSGVO	Verarbeitung einschränken statt löschen
Datenübertragbarkeit	Art. 20 DSGVO	Daten in maschinenlesbarem Format erhalten
Widerspruch	Art. 21 DSGVO	Widerspruch gegen Verarbeitung auf Basis lit. f
Widerruf	Art. 7 Abs. 3 DSGVO	Einwilligung jederzeit widerrufen (gilt ab Widerruf)

Zur Ausübung deiner Rechte wende dich per E-Mail an farbenwerk.tattoo@gmail.com. Wir antworten innerhalb von 30 Tagen (Art. 12 DSGVO). Zur Identifizierung benötigen wir eine Kopie eines Lichtbildausweises oder eine vergleichbare Bestätigung.

17. Aufsichtsbehörde

Du hast das Recht, dich bei der zuständigen Datenschutz-Aufsichtsbehörde zu beschweren:

Wir bitten dich jedoch, dich bei Problemen zunächst an uns zu wenden, da wir die meisten Anliegen direkt und schnell klären können.

18. Änderungen dieser Erklärung

Wir behalten uns vor, diese Datenschutzerklärung bei Änderungen unserer Dienste oder der Rechtslage anzupassen. Die jeweils aktuelle Fassung ist unter intranet.farbenwerk.tattoo/datenschutz/ abrufbar. Änderungen mit wesentlichen Auswirkungen teilen wir dir per E-Mail oder beim nächsten Kontakt mit.