Datenschutzerklärung

1. Verantwortlicher

Maximilian Hertwig & Co. Markenstrategie
Rosengarten 14, 23730 Neustadt in Holstein, Deutschland
E-Mail: moin@klugesdenken.de · Telefon: 01702667386

Wir betreiben unter „Barbercut“ eine Warteschlangen- und Terminsoftware für Friseursalons und Barbershops (Web-App unter barbercut.app sowie die Barbercut-App für iOS und Android). Für Fragen zum Datenschutz erreichst du uns jederzeit unter den oben genannten Kontaktdaten.

2. Wer ist wofür verantwortlich? (Salon vs. Barbercut)

Wenn du dich in die Warteliste eines Salons einreihst oder dort einen Termin buchst, ist der jeweilige Salon der Verantwortliche für diese Daten. Wir stellen dem Salon dafür nur die Software bereit und verarbeiten diese Daten als Auftragsverarbeiter nach seinen Weisungen (Art. 28 DSGVO); mit jedem Salon besteht ein entsprechender Vertrag zur Auftragsverarbeitung. Für Auskunft oder Löschung deiner Warteschlangen- und Termindaten wende dich bitte an den Salon — du kannst dich aber auch an uns wenden, wir leiten deine Anfrage weiter.

Für den Betrieb der Plattform selbst — also Salon-Konten, Abrechnung, unsere eigene Website und die Server-Logs — sind wir der Verantwortliche.

3. Einreihen in die Warteliste und Terminbuchung

Beim Einreihen speichern wir deinen Vornamen bzw. Anzeigenamen, die gewählte Leistung, den gewünschten Friseur (optional) sowie Zeitstempel zum Ablauf (aufgerufen, sitzt, fertig). Deine Handynummer ist freiwillig und optional. Bei einer Terminbuchung kommen Datum, Uhrzeit und eine optionale Notiz hinzu. Mehr nicht: kein Geburtsdatum, keine Zahlungsdaten — du zahlst im Salon (Datenminimierung, Art. 5 Abs. 1 lit. c DSGVO). Eine E-Mail-Adresse brauchst du zum Einreihen und Buchen nicht; sie fällt nur an, wenn du dich freiwillig für ein Kundenkonto entscheidest (Ziffer 5a).

Zweck ist die Durchführung deines Besuchs bzw. Termins, Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche bzw. vertragliche Maßnahme). Ohne Anzeigenamen und Leistung können wir dich nicht in die Schlange aufnehmen; alle übrigen Angaben sind freiwillig.

Deinen Live-Status rufst du über einen Statuslink mit einer zufälligen, nicht erratbaren Kennung (UUID) auf. Diese Seite ist für Suchmaschinen gesperrt und benötigt kein Konto und kein Passwort. Der Salon sieht auf seinem Board die Warteliste des laufenden Tages; das Personal kann zu einem Eintrag eine interne Notiz (z. B. „kurze Seiten“) hinterlegen.

4. Push-Benachrichtigungen in der App

Wenn du die Barbercut-App installierst und Benachrichtigungen erlaubst, senden wir dir Statusnachrichten als Push — z. B. eine Eingangsbestätigung, einen Hinweis kurz bevor du dran bist, den Aufruf sowie Terminbestätigung und Terminerinnerung. Dafür verarbeiten wir ein Geräte-Kennzeichen (Push-Token) deines Handys und übermitteln die Nachricht an Google Firebase Cloud Messaging (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; für die technische Zustellung auch an Google LLC, USA). Auf iOS wird die Nachricht zusätzlich über den Apple Push Notification service (Apple Inc., USA / Apple Distribution International Ltd., Irland) zugestellt; das gilt auch für die Live-Aktivität auf dem Sperrbildschirm, sofern du sie nutzt.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du im Betriebssystem oder in den App-Einstellungen jederzeit mit Wirkung für die Zukunft widerrufen kannst. Mit der Übermittlung an Google und Apple ist eine Verarbeitung in den USA verbunden (Drittlandtransfer); beide Anbieter sind unter dem EU-US-Data-Privacy-Framework zertifiziert und wir haben ergänzend die Standardvertragsklauseln der EU-Kommission vereinbart. Ohne App wirst du über die Live-Status-Seite oder mündlich im Salon informiert — Push ist nie Voraussetzung für einen Platz in der Schlange.

5. Kundenprofil und Marketing-Push

Die App erkennt dich anhand einer zufällig auf deinem Gerät erzeugten Kennung wieder (kein Account, kein Passwort, keine Geräte-ID des Herstellers, keine Werbe-ID). Nur mit deiner zusätzlichen, jederzeit widerrufbaren Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) nutzt der Salon dieses Profil, um dich über Aktionen oder freie Termine zu informieren — getrennt von den Statusnachrichten aus Ziffer 4. Dazu wird ausgewertet, wann du zuletzt da warst und wie oft, damit du z. B. eine „Wir vermissen dich“-Nachricht bekommen kannst.

Optional kannst du dabei eine Telefonnummer hinterlegen, damit du auch nach einem Gerätewechsel erreichbar bleibst. Du kannst die Einwilligung in der App jederzeit widerrufen und dein Profil dort vollständig löschen lassen; wir tracken dich nicht über andere Websites oder Apps hinweg.

5a. Freiwilliges Kundenkonto

Zum Einreihen, Buchen und für die Live-Statusseite brauchst du kein Konto — das bleibt so. Wer seine Stempelkarten, seinen Stamm-Friseur und seine Termine auch nach einem Gerätewechsel wiederfinden will, kann in der App freiwillig ein Konto anlegen.

Dafür verarbeiten wir E-Mail-Adresse, ein Passwort (nur als nicht umkehrbarer Hash — wir können es nicht lesen) und deinen Anzeigenamen. Zweck ist ausschließlich die Wiedererkennung deines Profils auf mehreren Geräten, Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Wir nutzen die Adresse für Zugangs-E-Mails (z. B. Passwort zurücksetzen) und nicht für Werbung; Aktionen der Salons laufen weiter über die getrennte Einwilligung aus Ziffer 5 und über Push.

Das Konto ist an keinen Salon gebunden: es verknüpft nur deine bestehenden Besuchsprofile (Ziffer 5) mit einem wiederherstellbaren Anker. Du kannst es jederzeit in der App unter Mein Profil → Konto abmelden oder vollständig löschen — siehe Ziffer 14.

Anmelden mit Apple oder Google. Statt eines eigenen Passworts kannst du dich mit deiner Apple-ID oder deinem Google-Konto anmelden. Dabei übermittelt uns der jeweilige Anbieter deine E-Mail-Adresse, deinen Namen und eine anbieterinterne Kennung — mehr nicht; ein Passwort erhalten wir nie. Umgekehrt erfährt der Anbieter, dass du dich bei Barbercut anmeldest. Verantwortlich sind dafür Apple Distribution International Ltd. (Irland) bzw. Google Ireland Ltd.; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Bei Apple kannst du „E-Mail verbergen“ wählen — dann bekommen wir nur eine anonyme Weiterleitungsadresse.

Ist diese Adresse dieselbe wie bei einem schon bestehenden Barbercut-Konto, verknüpfen wir beide zu einem Konto — sonst hättest du zwei, und deine Stempelkarten lägen im falschen. Möglich ist das nur, weil Apple und Google die Adresse selbst bestätigen.

Für den Versand dieser E-Mails nutzen wir den Mailserver unseres Hosters IONOS SE (Montabaur, Deutschland). Übermittelt werden dabei nur Empfängeradresse und Inhalt der jeweiligen E-Mail.

6. Eigene Frisur-Fotos in der App (bleiben auf deinem Gerät)

Nach einem abgeschlossenen Besuch kannst du in der App Fotos deiner Frisur speichern, um sie beim nächsten Termin selbst vorzuzeigen. Diese Fotos werden nicht an uns übertragen: sie liegen ausschließlich im privaten Speicherbereich der App auf deinem Gerät. Wir und der Salon haben keinen Zugriff darauf, sie erscheinen nirgends öffentlich, und sie sind in keinem unserer Backups enthalten. Eine Verarbeitung durch uns findet insoweit nicht statt.

Du entscheidest allein darüber: In der App kannst du jedes Foto jederzeit endgültig löschen. Über die Teilen-Funktion deines Betriebssystems kannst du eine Kopie selbst in deine Fotos-App übernehmen — dann gelten die Datenschutzbestimmungen des jeweiligen Anbieters (z. B. iCloud oder Google Fotos). Deinstallierst du die App, werden die in der App gespeicherten Fotos mit entfernt.

7. Salon-Webseiten und Salon-Verzeichnis

Jeder Salon kann über Barbercut eine öffentliche Seite betreiben (unter barbercut.app/s/… oder einer eigenen Domain). Alle Schriftarten sind selbst gehostet und werden von unserem Server in Deutschland ausgeliefert — es wird keine Verbindung zu Google Fonts aufgebaut und keine IP-Adresse zu diesem Zweck an Google übertragen. Karten werden nicht eingebettet — der Adress-Button öffnet lediglich einen Link zu Google Maps, sodass erst dein Klick Daten dorthin überträgt. Bilder (Logo, Galerie, Team) liegen auf unserem Server in Deutschland. Bewertungen auf der Salon-Seite pflegt der Salon selbst ein; sie werden nicht automatisch aus deinen Besuchen erzeugt.

8. Salon-Konto (Dashboard) und Abrechnung

Für Salon-Inhaber und Mitarbeitende verarbeiten wir Name, E-Mail-Adresse, ein kryptografisch gespeichertes Passwort (Hash), die Rolle im Salon und Sitzungsdaten (Login) — Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO. Sicherheitsrelevante Aktionen (z. B. Änderungen an Einstellungen) protokollieren wir zu Nachweiszwecken (Art. 6 Abs. 1 lit. f DSGVO).

Schließt ein Salon ein kostenpflichtiges Abo ab, wickeln wir Zahlung und Rechnung über Stripe (Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin, Irland) ab. Zahlungsdaten werden direkt bei Stripe eingegeben; wir selbst speichern keine Karten- oder Kontodaten, sondern nur den Abo-Status und die Stripe-Kennung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO sowie steuer- und handelsrechtliche Pflichten (Art. 6 Abs. 1 lit. c DSGVO).

Im Dashboard steht ein Hilfe- und Chat-Bereich zur Verfügung. Deine Nachrichten dort speichern wir zusammen mit deinem Konto, um die Anfrage zu bearbeiten (Art. 6 Abs. 1 lit. b und lit. f DSGVO). Nutzt ein Salon den optionalen KI-Assistenten für Texte seiner Website, werden ausschließlich die eingegebenen Salon-Angaben (z. B. Name, Ausrichtung, Leistungen) an Google Vertex AI (Google Cloud, Region europe-west4, Belgien/EU) übermittelt; Kundendaten aus Warteliste oder Terminen fließen dort nicht ein. Diese Funktion ist optional und nur aktiv, wenn der Salon sie nutzt.

9. Hosting, Server-Logs und Sicherheit

Barbercut läuft auf einem virtuellen Server der IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, in einem Rechenzentrum in Deutschland. Mit IONOS besteht ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO). Es findet keine Datenübermittlung in Drittländer statt, außer der in Ziffer 4 und 6 beschriebenen.

Beim Aufruf der Seiten fallen technisch notwendige Server-Logs an (IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browser-/Gerätetyp, Statuscode). Sie dienen dem sicheren Betrieb und der Abwehr von Missbrauch (Art. 6 Abs. 1 lit. f DSGVO) und werden gelöscht, sobald sie für diese Zwecke nicht mehr erforderlich sind. Zum Schutz vor massenhaften Einträgen begrenzen wir Anfragen pro Absender; die IP-Adresse wird dafür nur kurzzeitig im Arbeitsspeicher gehalten und nicht dauerhaft gespeichert.

Die Verbindung ist durchgehend per TLS verschlüsselt. Die Daten verschiedener Salons sind auf Datenbankebene strikt voneinander getrennt (Row-Level-Security). Zugriff auf die Server haben nur wenige berechtigte Personen. Von der Datenbank werden regelmäßig Sicherungskopien erstellt, die zugriffsgeschützt auf dem Server in Deutschland abgelegt und nach spätestens 14 Tagen automatisch gelöscht werden.

10. Cookies und ähnliche Techniken

Wir verwenden keine Analyse-, Werbe- oder Tracking-Cookies und binden keine Social-Media-Plugins ein. Gesetzt werden nur technisch erforderliche Cookies: ein Sitzungs-Cookie für den Login im Salon-Dashboard und ein Cookie, das deine Wahl zwischen hellem und dunklem Design merkt (§ 25 Abs. 2 TDDDG — deshalb kein Einwilligungsbanner). In der App werden Statuslink-Kennung, Anmeldetoken und die Gerätekennung aus Ziffer 5 lokal und geschützt auf deinem Gerät abgelegt.

11. Speicherdauer

Name und Handynummer abgeschlossener Wartelisten- und Termineinträge werden automatisch nach spätestens 30 Tagenanonymisiert; der Salon kann diese Frist in seinen Einstellungen auf 24 Stunden oder 7 Tage verkürzen. Anonymisiert werden ausschließlich personenbezogene Daten — rein statistische Kennzahlen (z. B. die Anzahl bedienter Kunden) bleiben ohne Personenbezug erhalten.

Das Kundenprofil aus Ziffer 5 besteht unabhängig davon fort, bis du die Einwilligung widerrufst oder das Profil löschst — sonst würde dein Widerspruchsrecht bei jeder Purge ins Leere laufen. Push-Token löschen wir, sobald sie ungültig werden oder du Benachrichtigungen deaktivierst. Salon-Konten löschen wir nach Kündigung; Rechnungsbelege unterliegen den gesetzlichen Aufbewahrungsfristen (in der Regel 10 Jahre, § 147 AO, § 257 HGB).

Barbercut ist eine reine Warteliste: Wir speichern keine Umsätze, kein Trinkgeld und keine Kassendaten — Preise sind nur eine informative Preisliste.

12. Empfänger deiner Daten

Zugriff haben der jeweilige Salon (sein Personal) sowie wir als Betreiber, soweit für Support und Betrieb erforderlich. Als Auftragsverarbeiter setzen wir ein: IONOS SE (Hosting, Deutschland), Google (Push-Zustellung über Firebase Cloud Messaging sowie — nur falls der Salon ihn nutzt — der optionale Text-Assistent über Vertex AI), Apple (Push-Zustellung auf iOS) und, nur bei kostenpflichtigen Salon-Abos, Stripe Payments Europe Ltd. (Zahlungsabwicklung). Eine Weitergabe zu Werbezwecken an Dritte findet nicht statt; wir verkaufen keine Daten.

13. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie ein Widerspruchsrecht gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO). Erteilte Einwilligungen — etwa für Push oder Marketing — kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO), ohne dass die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung berührt wird. Wie du dein Profil oder dein Konto konkret löschst, steht in Ziffer 14.

Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD), Holstenstraße 98, 24103 Kiel, mail@datenschutzzentrum.de. Bei Wartelisten- und Termindaten ist die Behörde am Sitz des jeweiligen Salons zuständig.

Eine automatisierte Entscheidungsfindung oder ein Profiling im Sinne des Art. 22 DSGVO findet nicht statt. Barbercut richtet sich nicht an Kinder unter 16 Jahren.

14. Konto und Daten löschen

Diese Seite ist die von den App-Stores verlangte Anlaufstelle für Löschanfragen (barbercut.app/datenschutz#loeschung). Es gibt bei Barbercut zwei Arten von Daten — je nachdem, ob du Gast eines Salons bist oder selbst einen Salon betreibst.

Als Kunde, ohne Konto: Dein Kundenprofil aus Ziffer 5 löschst du selbst in der Barbercut-App: auf deiner Status-Seite über „Über Aktionen informieren?“ → „Mein Profil löschen“. Damit entfallen sofort und dauerhaft: die Gerätekennung, dein hinterlegter Name, eine eventuell angegebene Telefonnummer, die Marketing-Einwilligung sowie deine Push-Token. Hast du die App bereits deinstalliert oder kommst nicht mehr an dein Gerät, genügt eine formlose E-Mail an moin@klugesdenken.de mit dem Namen des Salons und deinem Anzeigenamen — wir löschen dann für dich.

Als Kunde mit Kundenkonto (Ziffer 5a): In der App unter Mein Profil → Konto → „Konto löschen“ — oder ohne App unter barbercut.app/konto. Das löscht in einem Schritt und unwiderruflich: dein Login samt E-Mail-Adresse und Passwort-Hash, alle Sitzungen sowie deine Besuchsprofile bei allen Salons (Stempelkarten, Stamm-Friseur, offene Termine). Erhalten bleibt allein die anonyme Besuchsstatistik der Salons, die keinen Bezug mehr zu dir hat. Hattest du dich mit Apple angemeldet, widerrufen wir dabei zusätzlich die Berechtigung bei Apple, damit Barbercut dort nicht mehr als verbundene App geführt wird.

Als Salon (Konto im Dashboard): Die Löschung des Salon-Kontos richtest du per E-Mail an moin@klugesdenken.de (Betreff „Konto löschen“) oder direkt in der App unter Einstellungen → Konto löschen. Wir bestätigen den Eingang und löschen Konto, Zugangsdaten, Salon-Stammdaten, Webseite, Bilder sowie alle Wartelisten- und Termindaten des Salons.

Fristen und was erhalten bleibt:Wir bearbeiten Löschanfragen unverzüglich, spätestens innerhalb von 30 Tagen; Sicherungskopien laufen nach spätestens 14 Tagen aus. Aufbewahrt werden darüber hinaus nur (a) Rechnungs- und Buchungsbelege kostenpflichtiger Salon-Abos wegen der gesetzlichen Aufbewahrungsfristen (in der Regel 10 Jahre, § 147 AO, § 257 HGB) und (b) rein statistische Kennzahlen ohne jeden Personenbezug (z. B. „12 Kunden am Dienstag“), aus denen sich keine Person mehr ableiten lässt. Unabhängig von einer Löschanfrage werden Name und Handynummer abgeschlossener Einträge ohnehin automatisch anonymisiert (Ziffer 11).

15. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich die App oder die Rechtslage ändert. Es gilt jeweils die hier veröffentlichte Fassung; das Datum oben zeigt den Stand.