Datenschutzerklärung

1. Wer für die Datenverarbeitung verantwortlich ist

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) für die Plattform FÉYA ist:

Serhat Terzi Kirchenweg 13 85293 Reichertshausen Telefon: +49 163 7084168 E-Mail: datenschutz@myfeya.de

Diese Erklärung gilt für die Websites und Anwendungen unter myfeya.app, myfeya.de, feya.pro sowie für die über die Plattform automatisch erzeugten Salon-Webseiten.

Einen Datenschutzbeauftragten muss FÉYA derzeit nicht benennen: Die gesetzliche Pflicht dazu entsteht erst ab 20 ständig mit Datenverarbeitung beschäftigten Personen oder bei bestimmten Risikoverarbeitungen im großen Maßstab. Sollte sich das ändern, wird diese Erklärung ergänzt.

2. Zwei Rollen: FÉYA als Verantwortlicher und als Auftragsverarbeiter

Das ist der wichtigste Punkt zum Verständnis und muss klar getrennt bleiben:

• Für die Plattform selbst, also für Ihr FÉYA-Konto, den Besuch der Websites, Zahlungen an FÉYA und die KI-Funktionen der Plattform, ist FÉYA der Verantwortliche. Dafür gilt diese Datenschutzerklärung.
• Für die Daten, die eine Kundin einem einzelnen Salon gibt (Termine, Kontaktdaten, Unverträglichkeiten, Fotos im Salon-Chat), ist der jeweilige Salon der Verantwortliche. FÉYA verarbeitet diese Daten nur im Auftrag des Salons, auf Grundlage eines Auftragsverarbeitungsvertrags (AVV). Für diese Daten ist zuerst der Salon Ansprechpartner; FÉYA unterstützt ihn technisch.

3. Welche Daten wir zu welchem Zweck verarbeiten

3.1 Beim Besuch der Websites

Beim Aufruf von myfeya.app, myfeya.de, feya.pro und den Salon-Webseiten werden technisch notwendige Daten verarbeitet (IP-Adresse, Zeitpunkt, aufgerufene Seite, Browsertyp), damit die Seite ausgeliefert und der Betrieb sicher gehalten werden kann. Rechtsgrundlage: berechtigtes Interesse am sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Cookies/Tracking: Auf den öffentlichen Seiten werden derzeit keine Cookies zu Analyse- oder Werbezwecken und keine Tracking-Skripte eingesetzt. Ein Cookie-Banner ist deshalb nicht erforderlich. Sollte sich das ändern, wird vorab eine Einwilligung eingeholt.

3.2 Registrierung eines Salon-Kontos

Verarbeitet werden Name, Firmenname, Anschrift, E-Mail, Telefonnummer, Zugangsdaten und die erteilten Zustimmungen (AGB, Datenschutzerklärung, AVV). Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

3.3 Registrierung eines Kundinnen-Kontos

Verarbeitet werden Name, E-Mail, Telefonnummer, Zugangsdaten und die erteilten Zustimmungen. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

3.4 Terminbuchung

Verarbeitet werden Termindaten, gewünschte Leistung, zugeordnete Kundin und ggf. eine Anzahlung. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Zuordnung zu Ihrem Konto: Buchen Sie bei einem Salon ohne Anmeldung, zum Beispiel über dessen Instagram-Seite oder Website, und geben dabei dieselbe bestätigte E-Mail-Adresse oder Handynummer an wie in Ihrem FÉYA-Konto, ordnen wir den Termin Ihrem Konto zu. Sie sehen ihn dann in der App unter Ihren Terminen und erhalten dort Erinnerungen. Termine, die ein Salon selbst einträgt, ordnen wir nicht automatisch zu. Angaben vorausfüllen: Öffnen Sie die Instagram-Seite eines Salons über Ihren persönlichen Link aus dessen Instagram-Nachricht, füllen wir Name, Handynummer und E-Mail-Adresse aus Ihrer letzten Buchung bei diesem Salon vor. Zusätzlich merkt sich Ihr Gerät diese Angaben für die nächste Buchung. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und unser berechtigtes Interesse, Ihnen Ihre Termine an einem Ort zu zeigen und das Buchen zu erleichtern (Art. 6 Abs. 1 lit. f DSGVO).

3.5 Kasse, Belege und gesetzliche Kassensicherung (TSE)

Verarbeitet werden Zahlungs- und Belegdaten sowie auf Rechnungen Name, Anschrift und ggf. Umsatzsteuer-Identifikationsnummer der Rechnungsempfängerin. Die gesetzlich vorgeschriebene Manipulationssicherung (TSE) wird über den Dienstleister fiskaly umgesetzt. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und rechtliche Verpflichtung aus Steuer- und Kassenrecht (Art. 6 Abs. 1 lit. c DSGVO, insb. § 146a AO, GoBD). Beleg-Link: Belege können über einen Link ohne Konto geöffnet werden. Der Link enthält einen nicht erratbaren Einmal-Schlüssel und läuft nach einer Frist ab.

3.6 Zahlungsabwicklung

Zahlungen werden über Stripe abgewickelt (inkl. Klarna über Stripe). Dabei werden die für die Zahlung nötigen Daten an Stripe übermittelt. FÉYA selbst speichert keine vollständigen Zahlungskartendaten. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

3.7 Gesundheitsdaten (Unverträglichkeiten), besondere Kategorie

Angaben zu Unverträglichkeiten sind Gesundheitsdaten und damit besonders geschützte Daten nach Art. 9 DSGVO. Sie werden ausschließlich verarbeitet, wenn die betroffene Kundin zuvor ausdrücklich und gesondert eingewilligt hat. Ohne diese Einwilligung ist das Feld nicht befüllbar. Rechtsgrundlage: ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO).

3.8 Chat und Foto-Uploads zwischen Kundin und Salon

Verarbeitet werden Nachrichten und freiwillig hochgeladene Fotos. Fotos sind nur für die Beteiligten sichtbar, nicht öffentlich abrufbar. Rechtsgrundlage: Vertragserfüllung bzw. berechtigtes Interesse an der Kommunikation (Art. 6 Abs. 1 lit. b und f DSGVO).

3.9 KI-Funktionen (virtuelle Anprobe, KI-Beratung, Aurora)

Für die virtuelle Anprobe und KI-gestützte Beratung werden die eingegebenen Inhalte bzw. Bilder an einen KI-Dienstleister übermittelt und dort verarbeitet. Bei der virtuellen Anprobe werden die Bilder nicht dauerhaft gespeichert. Auf die Auswertung durch eine KI wird an den betreffenden Stellen hingewiesen. Rechtsgrundlage: Einwilligung durch aktive Nutzung bzw. Vertragserfüllung (Art. 6 Abs. 1 lit. a und b DSGVO). KI-Dienstleister: Anthropic (Claude), Google (Gemini) und OpenAI, siehe Abschnitte 4 und 5.

3.10 Terminnachrichten, Bewertungsanfrage und Werbung

Terminbestätigungen und Erinnerungen per E-Mail, SMS oder App-Mitteilung sind Teil der Leistung und keine Werbung. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Bewertungsanfrage: Nach einem Termin kann Ihnen der Salon einmalig eine E-Mail schicken, mit der Sie Ihren Besuch bewerten können, auch wenn Sie über eine andere Buchungsplattform gebucht haben. Die Mail kommt im Namen des Salons, enthält keine Werbung für FÉYA und einen Link, mit dem Sie weitere Bewertungsanfragen dieses Salons abbestellen. Bewertungen ohne FÉYA-Konto erscheinen mit Vorname und erstem Buchstaben des Nachnamens oder auf Wunsch anonym. Rechtsgrundlage: berechtigtes Interesse des Salons an Rückmeldungen seiner Kund:innen (Art. 6 Abs. 1 lit. f DSGVO, § 7 Abs. 3 UWG). Sie können jederzeit widersprechen, ohne dass Kosten außer den Übermittlungskosten nach den Basistarifen entstehen.

Werbung von Salons: Salons können ihren Kund:innen Angebote per E-Mail oder SMS schicken, aber nur nach einer gesonderten Einwilligung, die Sie über einen Bestätigungslink bestätigt haben (Double-Opt-in). Jede Nachricht enthält einen Link zum Abbestellen. Ob eine Werbenachricht geöffnet wurde, zählen wir nicht. Klicks auf den Link zur Salonseite zählen wir, damit der Salon sieht, ob seine Aktion ankommt. Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 UWG), jederzeit widerrufbar.

3.11 Bewertungen und Bonuspunkte (Aura Points)

Bewertungen können auf Wunsch mit Namen veröffentlicht werden (standardmäßig ohne Namen). Bonuspunkte werden dem Konto zugeordnet. Rechtsgrundlage: Einwilligung bzw. Vertragserfüllung (Art. 6 Abs. 1 lit. a und b DSGVO).

3.12 Kalenderabgleich

Auf Wunsch werden Termine mit einem externen Kalender (Google/Apple) abgeglichen. Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

3.13 Nachweis von Zustimmungen (Consent-Log)

Zum Nachweis erteilter Einwilligungen werden Konto, Zeitpunkt, Art und Version des Textes sowie die IP-Adresse gespeichert. Rechtsgrundlage: rechtliche Verpflichtung zur Nachweisbarkeit und berechtigtes Interesse (Art. 6 Abs. 1 lit. c und f DSGVO, Art. 7 Abs. 1 DSGVO).

3.14 Kartendarstellung (OpenFreeMap)

Zur Anzeige von Karten laden wir Kartenkacheln von OpenFreeMap (openfreemap.org). Dabei wird die IP-Adresse Ihres Geräts an die Server von OpenFreeMap übermittelt; das ist technisch nötig, damit die Karte angezeigt werden kann. OpenFreeMap betreibt seine Server in der Europäischen Union, setzt keine Cookies und erstellt keine Profile. Die Kartendaten stammen von OpenStreetMap (© OpenStreetMap-Mitwirkende). Die Anschrift eines Salons wird zur Bestimmung seiner Lage einmalig über den Geodienst Nominatim der OpenStreetMap Foundation in Koordinaten umgerechnet; dabei werden nur Salondaten übermittelt, keine Daten von Kund:innen. Rechtsgrundlage: berechtigtes Interesse an der Darstellung des Standorts (Art. 6 Abs. 1 lit. f DSGVO).

3.15 Gewinnspiele der Salons

Salons können über FÉYA Gewinnspiele veranstalten, an denen Sie über ein Stichwort auf Instagram oder mit Ihrer E-Mail-Adresse teilnehmen. Verarbeitet werden Ihr Instagram-Name bzw. Vorname, Nachname und E-Mail-Adresse, der Zeitpunkt der Teilnahme, ein gewonnener Preis und dessen Einlösung. Veranstalter und Verantwortlicher ist der jeweilige Salon; FÉYA führt das Gewinnspiel in seinem Auftrag technisch durch. Es gelten die Teilnahmebedingungen des Gewinnspiels. Speicherdauer: Name und E-Mail-Adresse löschen wir 30 Tage nach Ablauf der Einlösefrist des Gewinns. Rechtsgrundlage: Durchführung des Gewinnspiels nach den Teilnahmebedingungen (Art. 6 Abs. 1 lit. b DSGVO).

3.16 Übernahme von Terminen anderer Buchungsplattformen

Salons können Buchungsbestätigungen anderer Plattformen an eine eigene FÉYA-Adresse weiterleiten. Wir lesen aus diesen E-Mails Name, Kontaktdaten, Behandlung und Zeit des Termins aus, bei Bedarf mit Hilfe eines KI-Dienstleisters, und tragen den Termin in den Kalender des Salons ein. An Sie verschicken wir dabei keine Bestätigungen oder Erinnerungen; Sie erhalten höchstens die Bewertungsanfrage nach Abschnitt 3.10. Verantwortlich ist der Salon, wir handeln in seinem Auftrag. Die weitergeleiteten E-Mails löschen wir nach 90 Tagen. Rechtsgrundlage: Auftragsverarbeitung für den Salon (Art. 28 DSGVO); für den Salon in der Regel Art. 6 Abs. 1 lit. b DSGVO.

3.17 Mitteilungen aufs Gerät (Push)

Erlauben Sie Mitteilungen, speichern wir die von Ihrem Browser bzw. Gerät vergebene Empfängeradresse, um Ihnen Terminhinweise und Nachrichten zu schicken. Schalten Sie die Mitteilungen ab, löschen wir die Adresse. Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG).

3.18 Schutz Ihres Kontos

Zum Schutz vor dem Ausprobieren von Passwörtern begrenzen wir Anmeldeversuche je Internetanschluss und prüfen neue Passwörter anonym darauf, ob sie bereits in bekannten Datenlecks aufgetaucht sind (dabei wird nur ein Teil eines Prüfwerts übermittelt, nie das Passwort). Auf Wunsch schützen Sie Ihr Konto zusätzlich mit einer Zwei-Faktor-Anmeldung über eine Authenticator-App. Rechtsgrundlage: berechtigtes Interesse an der Sicherheit der Konten (Art. 6 Abs. 1 lit. f DSGVO, Art. 32 DSGVO).

3.19 Sichtbarkeit Ihres Profils

Ihr Profil ist zunächst nicht öffentlich. Öffentlich wird es erst, wenn Sie das in Ihrem Profil einstellen; erst dann finden andere Sie über Ihren Benutzernamen. Beiträge, die Sie öffentlich teilen, sind unabhängig davon für alle sichtbar. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO); Datenschutz durch Voreinstellung (Art. 25 Abs. 2 DSGVO).

4. Empfänger der Daten (Auftragsverarbeiter)

FÉYA gibt personenbezogene Daten nur an sorgfältig ausgewählte Dienstleister weiter. Die meisten sind weisungsgebundene Auftragsverarbeiter nach Art. 28 DSGVO; OpenFreeMap ist als bloßer Empfänger geführt, da beim Abruf von Kartenkacheln kein Auftragsverhältnis entsteht (siehe 3.14).

5. Datenübermittlung in Drittländer (USA)

Einige der genannten Dienstleister haben ihren Sitz in den USA oder verarbeiten dort. Grundlage der Übermittlung ist der Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (DPF) vom 10. Juli 2023, soweit der jeweilige Anbieter darunter zertifiziert ist. Der Beschluss ist derzeit gültig; das Gericht der Europäischen Union hat ihn im September 2025 bestätigt. Für Anbieter, die nicht DPF-zertifiziert sind, werden EU-Standardvertragsklauseln (SCC) als Grundlage genutzt.

6. Wie lange wir Daten speichern

• Steuer- und kassenrelevante Daten (Belege, TSE, Buchhaltung): 10 Jahre (§ 147 AO, GoBD).
• Vertrags- und Kontodaten: solange das Konto besteht, danach gelöscht. Nach dem Antrag auf Löschung gilt eine Bedenkzeit von 14 Tagen, in der Sie die Löschung zurücknehmen können.
• Einwilligungsnachweise: für die Dauer des Nachweisbedarfs; IP-Adresse und Browserangaben darin werden nach drei Jahren geschwärzt.
• Werbeeinwilligungen: bis zum Widerruf.
• Weitergeleitete Buchungsbestätigungen: 90 Tage.
• Gewinnspiele: Name und E-Mail-Adresse bis 30 Tage nach Ablauf der Einlösefrist.
• Versandprotokoll von E-Mails und SMS: Die Empfänger-Kennung wird nach 90 Tagen gelöscht.
• Schutz vor Missbrauch (Zähler für Anmelde- und Buchungsversuche): höchstens einen Tag.

7. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3). Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt. Ihre Daten können Sie in den Kontoeinstellungen unter „Meine Daten herunterladen“ selbst abrufen und Ihr Konto dort auch selbst löschen.

Sie haben zudem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig für den Verantwortlichen ist:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA) Promenade 18, 91522 Ansbach

8. Sicherheit

FÉYA setzt technische und organisatorische Maßnahmen ein, um Ihre Daten zu schützen, unter anderem verschlüsselte Übertragung, strenge Zugriffstrennung zwischen Salons, serverseitige Prüfung aller sicherheitsrelevanten Vorgänge, Verschlüsselung besonders sensibler Zugangsdaten und eine Zwei-Faktor-Anmeldung für Konten mit weitreichenden Rechten.

9. Änderungen dieser Erklärung

FÉYA passt diese Datenschutzerklärung an, wenn sich die Verarbeitung oder die Rechtslage ändert. Es gilt jeweils die auf den Websites veröffentlichte Fassung.