Datenschutzerklärung

Calmfill ist ein Online-Buchungsdienst, betrieben von Matej Machajda, Trstená 02801 („wir“). Bei allen Fragen zu dieser Erklärung erreichst du uns unter xtfmathew@gmail.com. Wir antworten spätestens innerhalb eines Monats.

Geschäftsnutzer (Inhaber und Teammitglieder) legen ein Konto an, um ihre Buchungen zu verwalten. Für ihre Kontodaten sind wir Verantwortlicher.

Kunden buchen über die Buchungsseite eines Unternehmens Termine bei diesem. Für Kundendaten ist das Unternehmen Verantwortlicher und wir sind sein Auftragsverarbeiter: Wir verarbeiten die Daten nur nach Weisung des Unternehmens auf Grundlage unseres Auftragsverarbeitungsvertrags. Die Kontaktdaten des Unternehmens stehen auf seiner Buchungsseite und in jeder Buchungs-E-Mail.

• Kontodaten: Name, E-Mail-Adresse, Passwort (nur als scrypt-Hash gespeichert), Sprachwahl und Anmeldesitzungen (Browsertyp und IP-Adresse).
• Unternehmensdaten: Profil, Adresse und Kontakt, Öffnungszeiten, Leistungen und Preise, Teammitglieder, Buchungseinstellungen sowie hochgeladenes Logo oder Titelbild.
• Kundendaten: der Termin (Leistung, Uhrzeit, Teammitglied, Status) sowie Name, E-Mail-Adresse, optionale Telefonnummer und optionale Notiz, die der Kunde angibt. Unternehmen können eigene interne Notizen ergänzen.
• Nachrichtenprotokolle: welche E-Mails zu einem Konto oder einer Buchung an welche Adresse gesendet wurden und ob sie zugestellt wurden.
• Sicherheitsdaten: kurzlebige Anfragezähler, die aus IP-Adressen und Konten abgeleitet werden (zur Begrenzung von Anfragen), und ein Änderungsverlauf jeder Buchung.

Wir fragen keine besonderen Kategorien personenbezogener Daten ab (etwa Gesundheitsdaten). Kunden sollten solche Daten nicht in die Notiz schreiben, und Unternehmen sollten sie nur mit einer Rechtsgrundlage erfragen.

• Bereitstellung des Dienstes für Geschäftsnutzer: Konten, Buchungsseiten, Kalender, Kundenkartei, Bestätigungen, Erinnerungen und Konto-E-Mails. Grundlage: Erfüllung unseres Vertrags mit dir (Art. 6 Abs. 1 lit. b DSGVO).
• Verarbeitung von Kundenbuchungen im Auftrag von Unternehmen. Grundlage: die Weisungen des Unternehmens nach Art. 28 DSGVO; die Rechtsgrundlage bestimmt das Unternehmen (meist der Vertrag mit seinem Kunden).
• Sicherheit des Dienstes: Begrenzung von Anfragen, Missbrauchsabwehr, Aufklärung von Vorfällen und Änderungsverlauf der Buchungen. Grundlage: unser berechtigtes Interesse an einem sicheren, zuverlässigen Dienst (Art. 6 Abs. 1 lit. f DSGVO).
• Beantwortung von Supportanfragen. Grundlage: unser Vertrag mit dir oder unser berechtigtes Interesse, Anfragen zu beantworten.
• Erfüllung rechtlicher Pflichten, etwa die Beantwortung rechtmäßiger Anfragen von Behörden. Grundlage: Art. 6 Abs. 1 lit. c DSGVO.

Wir senden nur Service-E-Mails, die du zur Nutzung von Calmfill brauchst. Wir senden keine Marketing-E-Mails, verkaufen keine personenbezogenen Daten, nutzen sie nicht für Werbung und treffen keine Entscheidungen über Personen, die ausschließlich auf automatisierter Verarbeitung oder Profiling beruhen.

Geschäftsnutzer müssen für ein Konto eine E-Mail-Adresse und ein Passwort angeben; ohne diese können wir den Dienst nicht bereitstellen. Kunden müssen für eine Buchung Name und E-Mail-Adresse angeben, damit das Unternehmen sie zuordnen und ihnen eine Bestätigung senden kann.

Kundendaten erhält nur das Unternehmen, bei dem der Kunde gebucht hat (und die Teammitglieder, denen es Zugriff gibt). Wir setzen folgende Dienstleister (Unterauftragsverarbeiter) ein, die Daten nur nach unseren Weisungen auf Grundlage von Auftragsverarbeitungsverträgen verarbeiten:

• Netlify: Webhosting und Serverfunktionen. Server können sich auch außerhalb der EU befinden, einschließlich der USA.
• Neon: verwaltete PostgreSQL-Datenbank, in der alle Konto-, Unternehmens- und Buchungsdaten gespeichert sind. Region: Frankfurt, Deutschland (EU).
• Resend: Versand der Buchungs- und Konto-E-Mails. Verarbeitet E-Mail-Adressen und Nachrichteninhalte, gegebenenfalls auch in den USA.

Verarbeitet ein Dienstleister Daten außerhalb des Europäischen Wirtschaftsraums, ist die Übermittlung durch die Standardvertragsklauseln der Europäischen Kommission und, sofern der Dienstleister zertifiziert ist, durch das EU-US Data Privacy Framework abgesichert. Eine Kopie der entsprechenden Garantien kannst du unter xtfmathew@gmail.com anfordern.

• Kontodaten: solange das Konto besteht. Beim Löschen des Kontos werden sie sofort aus unserer Live-Datenbank gelöscht.
• Unternehmens- und Kundendaten: solange das Unternehmen besteht. Jedes Unternehmen legt fest, wie lange Kundendaten nach dem letzten Termin aufbewahrt werden (6 Monate bis 10 Jahre); danach werden Namen, Kontaktdaten und Notizen automatisch gelöscht. Beim Löschen eines Unternehmens werden alle seine Daten sofort aus unserer Live-Datenbank gelöscht.
• Anmeldesitzungen: enden 30 Tage nach der letzten Nutzung und werden dann gelöscht. Links zur E-Mail-Bestätigung laufen nach 24 Stunden ab, Links zum Zurücksetzen des Passworts nach 1 Stunde; beide werden 7 Tage nach Ablauf gelöscht. Nicht angenommene Team-Einladungen werden 30 Tage nach Ablauf gelöscht.
• E-Mail-Inhalte: werden 90 Tage nach dem Versand gelöscht; der Zustellnachweis bleibt bei der Buchung.
• Anfragezähler: werden nach 2 Tagen gelöscht.
• Backups und technische Protokolle unserer Dienstleister werden automatisch überschrieben, spätestens nach 30 Tagen.

Wir verwenden nur Cookies und Speicher, die für den Dienst unbedingt erforderlich sind oder eine von dir getroffene Wahl speichern. Wir verwenden keine Analyse-, Werbe- oder Tracking-Cookies und zeigen deshalb kein Cookie-Banner.

• calmfill_session: hält Geschäftsnutzer angemeldet (httpOnly, bis zu 30 Tage).
• calmfill_business: merkt sich, in welchem Unternehmen ein angemeldeter Nutzer arbeitet (httpOnly, 1 Jahr).
• calmfill_lang: merkt sich die gewählte Sprache (1 Jahr). Wird nur gesetzt, wenn du eine Sprache wählst.
• theme (lokaler Speicher auf deinem Gerät, wird nicht an uns gesendet): merkt sich den hellen oder dunklen Modus.

Verbindungen sind per HTTPS verschlüsselt. Passwörter speichern wir nur als gesalzene scrypt-Hashes. Die Daten jedes Unternehmens sind getrennt, und bei jeder Anfrage wird die Rolle des angemeldeten Nutzers geprüft. Anmeldung, Buchungen und E-Mails sind gegen zu viele Anfragen begrenzt, und die Daten liegen bei Anbietern, die sie verschlüsselt speichern. Kein System ist vollkommen sicher; betrifft eine Datenpanne deine Daten, benachrichtigen wir dich und die Behörden wie gesetzlich vorgeschrieben.

Nach der DSGVO hast du das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit sowie das Recht, einer auf berechtigten Interessen beruhenden Verarbeitung zu widersprechen. Geschäftsnutzer können die meisten Daten direkt in ihren Konto- und Unternehmenseinstellungen einsehen, berichtigen, exportieren und löschen.

Kunden: Verantwortlicher für die Daten deiner Buchung ist das Unternehmen, wende dich daher zuerst an dieses. Du kannst uns auch unter xtfmathew@gmail.com schreiben; wir leiten deine Anfrage weiter und helfen dem Unternehmen bei der Beantwortung.

Du hast außerdem das Recht, dich bei einer Datenschutzaufsichtsbehörde zu beschweren, insbesondere in dem EU-Land, in dem du lebst oder arbeitest. Unsere federführende Aufsichtsbehörde ist das Amt für den Schutz personenbezogener Daten der Slowakischen Republik (Úrad na ochranu osobných údajov Slovenskej republiky, Hraničná 12, 820 07 Bratislava, dataprotection.gov.sk).

Geschäftskonten sind für Erwachsene (18+), die für ein Unternehmen handeln. Der Dienst richtet sich nicht an Kinder; eine Buchung für ein Kind sollte ein Elternteil oder Erziehungsberechtigter vornehmen.

Wir aktualisieren diese Erklärung, wenn sich der Dienst oder die Rechtslage ändert, und passen das Gültigkeitsdatum oben an. Über wesentliche Änderungen informieren wir Geschäftsnutzer per E-Mail, bevor sie wirksam werden.