Datenschutzerklärung

Stand: 29. Juli 2026

Maßgeblich ist ausschließlich die deutsche Fassung dieser Datenschutzerklärung. Übersetzungen werden nur zur besseren Verständlichkeit bereitgestellt; bei Abweichungen oder Auslegungsfragen ist die deutsche Fassung verbindlich.

1. Verantwortliche (gemeinsame Verantwortlichkeit, Art. 26 DSGVO)

Gemeinsam Verantwortliche im Sinne von Art. 26 DSGVO für die Verarbeitung personenbezogener Daten auf dieser Website sind:

Apropos Haare GmbH, Mönchhofstr. 3b, 69120 Heidelberg

Apropos Haare Mannheim GmbH, Tattersallstraße 41, 68165 Mannheim

In einer Vereinbarung nach Art. 26 Abs. 1 DSGVO ist geregelt, wer welche Pflichten erfüllt. Wesentlich für Sie: Die Apropos Haare GmbH ist primäre Anlaufstelle für Betroffenenrechte; geltend machen können Sie Ihre Rechte gegenüber jedem der beiden Verantwortlichen. Kontakt: datenschutz@aproposhaare.de

Ein Datenschutzbeauftragter ist nicht bestellt (§ 38 Abs. 1 BDSG).

2. Daten, Zwecke und Rechtsgrundlagen

Zwecke der Verarbeitung: Bereitstellung dieses Onlineangebots · Online-Terminbuchung und Kundenkonto · Terminbestätigungen und -erinnerungen · Beantwortung von Kontakt- und Bewerbungsanfragen · Missbrauchsschutz · interne Auswertung und Verbesserung des Angebots.

Rechtsgrundlage ist je nach Zweck Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), lit. b (Vertrag oder vorvertragliche Maßnahmen), lit. c (rechtliche Verpflichtung) oder lit. f (berechtigtes Interesse). Die einschlägige Grundlage ist bei jeder Verarbeitung unten genannt.

Gesundheitsbezogene Angaben (Art. 9 DSGVO) — Verträglichkeits-Hinweise in der Behandlungsdokumentation (Abschnitt 4) sowie freiwillige Angaben im Anmerkungsfeld einer Buchung — verarbeiten wir ausschließlich mit Ihrer ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO).

Verarbeitete Datenkategorien:

  • Bestandsdaten (z.B. Name)
  • Kontaktdaten (z.B. E-Mail-Adresse, Telefonnummer)
  • Inhaltsdaten (z.B. Texteingaben in Formularen, Profilfoto, Bewerbungsunterlagen)
  • Behandlungsdaten (z.B. gebuchte Dienstleistungen, Terminhistorie)
  • Vertragsdaten (z.B. gebuchte Leistung, zugeordneter Salon)
  • Nutzungs- und Zugriffsdaten (z.B. aufgerufene Seiten, IP-Adresse, Zeitpunkt)

3. Empfänger-Kategorien und Drittlandübermittlung

Dienstleister, die Daten in unserem Auftrag verarbeiten, sind über einen Vertrag nach Art. 28 DSGVO gebunden. Darüber hinaus geben wir Daten nur weiter, soweit wir gesetzlich dazu verpflichtet sind. Empfänger-Kategorien:

  • Hosting-, Datenbank- und Sicherheitsdienstleister — Verarbeitung auch in den USA; Grundlage der Übermittlung sind das EU-US Data Privacy Framework und ergänzend Standardvertragsklauseln nach Art. 46 DSGVO.
  • Anbieter unseres Buchungssystems (Sitz EU) und dessen Unterauftragsverarbeiter — für den E-Mail-Versand ein Dienstleister in den USA, abgesichert über Standardvertragsklauseln nach Art. 46 DSGVO; für SMS ein Dienstleister innerhalb des EWR.
  • E-Mail-Dienstleister für unsere eigenen Nachrichten — Sitz und Verarbeitung innerhalb der EU.
  • Anbieter der Kartendarstellung — Sitz im Vereinigten Königreich; Grundlage der Übermittlung ist der EU-Angemessenheitsbeschluss.
  • Anbieter der Werbe- und Conversion-Messung — nur nach Ihrer Marketing-Einwilligung; namentlich benannt in den Abschnitten 10 und 11.
  • Bei Online-Veröffentlichung von Fotos (Abschnitt 6): die jeweiligen Plattformbetreiber — nur im Umfang Ihrer Einwilligung.

4. Vertragliche Leistungen — Buchung, Kundenkonto, Behandlungsdokumentation

Terminbuchung: Bestands-, Kontakt-, Behandlungs- und Vertragsdaten zur Durchführung des Termins (Art. 6 Abs. 1 lit. b DSGVO), verarbeitet über unseren Buchungssystem-Anbieter (Abschnitt 3).

Kundenkonto: Anmeldung und Kontoführung nach Art. 6 Abs. 1 lit. b DSGVO. Zum Missbrauchsschutz und als Einwilligungs-Nachweis speichern wir bei Registrierung und Anmeldung pseudonyme Zugriffsangaben und den Zeitpunkt (Art. 6 Abs. 1 lit. f DSGVO). Nach Kündigung Löschung, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen (Abschnitt 14).

Nur mit Ihrer Einwilligung Profilfoto: nur auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), jederzeit widerruflich; Speicherung nicht länger als für diesen Zweck erforderlich.

Warteliste: Name und Kontaktangaben zur Benachrichtigung über freiwerdende Termine (Art. 6 Abs. 1 lit. b DSGVO). Nach Löschung Ihres Eintrags bleibt ein anonymisierter Rest ohne Personenbezug für die interne Statistik erhalten, solange er dafür erforderlich ist (Art. 6 Abs. 1 lit. f DSGVO).

Buchungsvorschläge: Angemeldeten Personen schlagen wir passende Termine vor, abgeleitet aus Terminhistorie und Besuchsrhythmus (Abschnitt 13). Innerhalb eines begonnenen Buchungsvorgangs Art. 6 Abs. 1 lit. b DSGVO, außerhalb davon Art. 6 Abs. 1 lit. f DSGVO. Eine automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung (Art. 22 DSGVO) findet nicht statt.

Behandlungsdokumentation: Beratungsergebnis, Farbrezeptur und Termin-Notizen zur fachgerechten Fortführung Ihrer Behandlung (Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Friseurvertrags). Einsehbar für die Friseur:innen der zuständigen GmbH, ergänzend Art. 6 Abs. 1 lit. f DSGVO (Kontinuität und Vertretung). Löschung, sobald für die Weiterbehandlung nicht mehr erforderlich und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Nur mit Ihrer Einwilligung Verträglichkeits-Hinweise: nur mit Ihrer ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), jederzeit mit Wirkung für die Zukunft widerruflich; nach Widerruf unverzügliche Löschung.

5. Benachrichtigungen und Erinnerungen

Terminbestätigungen und -erinnerungen per E-Mail und/oder SMS, versendet über Unterauftragsverarbeiter unseres Buchungssystem-Anbieters (Abschnitt 3). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Nur mit Ihrer Einwilligung Werbliche Nachrichten (Angebote, Aktionen) erhalten Sie nur mit Ihrer ausdrücklichen Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), jederzeit mit Wirkung für die Zukunft widerruflich.

Nur mit Ihrer Einwilligung Proaktive Termin-Erinnerungen (Opt-in): Erinnerung per E-Mail, wenn ein Folgetermin fällig sein könnte. Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Den Versandzeitpunkt leiten wir aus Ihrem Besuchsrhythmus ab (Abschnitt 13) — Profiling nach Art. 4 Nr. 4 DSGVO, jedoch keine automatisierte Entscheidung nach Art. 22 DSGVO. Ihr Widerspruchsrecht gegen Direktwerbung einschließlich Profiling (Art. 21 Abs. 2 DSGVO) üben Sie über den Abmelde-Link in jeder Erinnerung oder in Ihren Profileinstellungen aus. Speicherung bis zum Widerruf.

Nur mit Ihrer Einwilligung Push-Benachrichtigungen (Web-Push): Bei Aktivierung speichern wir eine technische Push-Anmeldung Ihres Browsers, verknüpft mit Ihrem Konto. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG; die Einwilligung erteilen Sie über die Benachrichtigungsfreigabe Ihres Browsers. Die Zustellung erfolgt über den Push-Dienst Ihres Browser-Herstellers, dabei ist eine Übermittlung in Drittländer (u.a. USA) möglich. Widerruf jederzeit; Speicherung bis zum Widerruf oder zur Löschung Ihres Kontos.

Benachrichtigungs-Protokoll: Art, Kanal, Zeitpunkt und Zustellstatus automatisierter Benachrichtigungen; der Nachrichteninhalt wird nicht gespeichert. Zweck ist der Nachweis nach Art. 5 Abs. 2 DSGVO sowie Missbrauchsschutz (Art. 6 Abs. 1 lit. f DSGVO). Löschung, sobald nicht mehr erforderlich.

6. Fotos

Herausgabe Ihrer eigenen Bilder: In einer Foto-Session entstandene Bilder können wir für Sie zur Abholung in Ihrem Kundenprofil freigeben und Sie darüber per E-Mail informieren (Art. 6 Abs. 1 lit. b DSGVO). Die Freigabe ist befristet (Art. 5 Abs. 1 lit. e DSGVO); eine vorzeitige Beendigung können Sie jederzeit verlangen.

Nur mit Ihrer Einwilligung Vorher-/Nachher-Fotos: Anfertigung und Nutzung zu Marketingzwecken (Website, Print- und Werbematerialien, Social-Media- und Online-Kanäle) nur mit Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO i.V.m. § 22 KUG). Die Einwilligung ist freiwillig; ohne sie entstehen keine Fotos. Empfänger sind die verantwortliche GmbH, unsere Auftragsverarbeiter und — bei Online-Veröffentlichung — die jeweiligen Plattformbetreiber. Speicherung bis zu Ihrem Widerruf, den Sie jederzeit formlos erklären können; danach löschen wir die Fotos aus den von uns kontrollierten Beständen.

Nur mit Ihrer Einwilligung Zusendung von Ergebnisfotos an eine von Ihnen angegebene E-Mail-Adresse: nur auf Ihren Wunsch (Art. 6 Abs. 1 lit. a DSGVO). Die Zieladresse speichern wir als Versand-Nachweis, solange dies dafür erforderlich ist.

7. Kontakt- und Bewerbungsformulare

Bei Kontaktaufnahme oder Bewerbung verarbeiten wir Name, E-Mail-Adresse, Nachrichteninhalt und ggf. Bewerbungsunterlagen zur Bearbeitung Ihrer Anfrage (Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO). Versand über unseren E-Mail-Dienstleister in der EU; Bewerbungsunterlagen speichern wir zusätzlich bei unserem Hosting-Dienstleister (Abschnitt 3), solange dies für das Verfahren und die Abwehr möglicher Ansprüche erforderlich ist.

8. Technische Absicherung und Protokollierung

Server-Logfiles: Beim Zugriff auf die Website werden Zugriffsdaten verarbeitet (aufgerufene Seite, Zeitpunkt, übertragene Datenmenge, Browser, Betriebssystem, Referrer-URL, IP-Adresse) auf Grundlage unseres berechtigten Interesses an Sicherheit und Stabilität (Art. 6 Abs. 1 lit. f DSGVO). Speicherung nur kurzzeitig; zu Beweiszwecken erforderliche Daten bis zur Klärung des Vorfalls.

Schutz der Buchungs-Schnittstelle: Zur Abwehr von Überlast und fehlerhaften Massenanfragen begrenzen wir die Zahl der Anfragen je Besucherin und Besucher. Dafür nutzen wir einen kurzlebigen, pseudonymen Wert, der keiner Person zugeordnet und nach kurzer Zeit automatisch verworfen wird (Art. 6 Abs. 1 lit. f DSGVO).

Änderungsprotokoll interner Kalkulationsgrundlagen: Wir halten fest, welcher Verwaltungs-Account eine preisrelevante Änderung vorgenommen hat (Art. 6 Abs. 1 lit. f DSGVO, ergänzend § 26 BDSG). Kundendaten sind nicht betroffen; Anonymisierung, sobald nicht mehr erforderlich.

9. Cookies, Endgerätespeicherung (§ 25 TDDDG) und Reichweitenmessung

  • Technisch notwendig (keine Einwilligung): Ihre Anmeldesitzung wird in einem Cookie mit einer Laufzeit von maximal 1 Stunde gespeichert; für die Buchung können weitere notwendige Sitzungs-Cookies gesetzt werden. Löschung bei Sitzungsende oder Abmeldung.
  • Reichweitenmessung: Cloudflare Web Analytics misst Seitenaufrufe cookielos und ohne Personenbezug. Zusätzlich messen wir den Buchungs-Funnel; für angemeldete Sitzungen ist diese Messung dem Kundenkonto zugeordnet (Abschnitt 13). Eine Einwilligung nach § 25 TDDDG ist dafür nicht erforderlich (Art. 6 Abs. 1 lit. f DSGVO). Werbe- und Tracking-Cookies (Google Ads, Meta Pixel) setzen wir nur nach Ihrer ausdrücklichen Einwilligung über den Cookie-Banner.
  • Einwilligungspflichtig: Die Aktivierung von Push-Benachrichtigungen (Abschnitt 5) erfordert eine Endgerätespeicherung und erfolgt nur mit Ihrer Einwilligung.

11. Meta Pixel Conversion-Tracking (Meta Ads / Facebook, Instagram)

Mit Ihrer ausdrücklichen Einwilligung im Cookie-Banner (Kategorie „Marketing“) setzen wir den Meta Pixel ein (Meta Ads, u.a. für Facebook und Instagram). Vertragspartner ist Meta Platforms Ireland Ltd., 4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Irland; die technische Verarbeitung erfolgt teilweise durch die Meta Platforms, Inc. (USA). Rechtsgrundlage ist ausschließlich Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG).

Zweck ist die Conversion-Messung — die Zuordnung eines abgeschlossenen Buchungsvorgangs oder eines Anruf- bzw. WhatsApp-Klicks zu einer zuvor gesehenen Anzeige. Kein Remarketing, kein Automatic Advanced Matching im Browser und keine Übermittlung von Formularfeld-Inhalten. Bei einer bestätigten Terminbuchung übermitteln wir zusätzlich Ihre E-Mail-Adresse und Telefonnummer in kryptographisch gehashter, nicht rückführbarer Form an Meta, um die Zuordnung zur Anzeige zu verbessern.

Gesetzt werden Cookies mit den Präfixen „_fbp“ und „_fbc“ (Speicherdauer rund 90 Tage). Die Übermittlung in die USA stützt sich auf das EU-US Data Privacy Framework.

Gemeinsame Verantwortlichkeit (Art. 26 DSGVO): Für Erhebung und Übermittlung der Event-Daten (Schedule, Contact) sind wir und Meta Platforms Ireland Ltd. gemeinsam Verantwortliche; die Einzelheiten regelt Metas Controller Addendum zu den Werbe-Nutzungsbedingungen. Wir entscheiden über den Einsatz, die Ausgestaltung der Einwilligung und die ausgelösten Events; Meta verantwortet die weitere Verarbeitung der eingehenden Event-Daten. Ihre Rechte können Sie uns gegenüber (datenschutz@aproposhaare.de) und direkt gegenüber Meta geltend machen.

Widerruf jederzeit über die Cookie-Einstellungen, wirksam für die Zukunft; bereits an Meta übermittelte Daten werden dadurch nicht gelöscht. Nach dem Widerruf werden die Cookies entfernt und es finden keine weiteren Übermittlungen statt.

12. Eingebundene Dienste und Inhalte Dritter

  • Kartendarstellung — OpenStreetMap: Beim Laden einer Karte ruft Ihr Browser Kartenkacheln direkt von der OpenStreetMap Foundation (Vereinigtes Königreich) ab; dabei wird Ihre IP-Adresse übertragen (Art. 6 Abs. 1 lit. f DSGVO; Übermittlung auf Grundlage des EU-Angemessenheitsbeschlusses).
  • Bot-Schutz — Cloudflare Turnstile: Bei sicherheitsrelevanten Funktionen wird ein Prüf-Token verarbeitet; es werden keine Cookies gesetzt (Art. 6 Abs. 1 lit. f DSGVO).

13. Interne Auswertungen und Einwilligungs-Nachweis

Interne Auswertungen: Aus Buchungs- und Nutzungsdaten leiten wir Kennzahlen ab (z.B. Besuchsrhythmus, Kundenbindung, Lebenszeitwert, Demografie) und werten den Buchungsablauf aus, einschließlich der Abbruchstelle und ihres Grundes. Zweck ist die interne Betriebssteuerung (Art. 6 Abs. 1 lit. f DSGVO); für angemeldete Personen sind diese Daten dem Kundenkonto zugeordnet. Sie können der Verarbeitung aus Gründen Ihrer besonderen Situation jederzeit widersprechen (Art. 21 Abs. 1 DSGVO). Eine automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung (Art. 22 DSGVO) findet nicht statt. Anonymisierung oder Löschung, sobald der Personenbezug für die Auswertung nicht mehr erforderlich ist.

Einwilligungs-Nachweis: Erteilte Einwilligungen protokollieren wir mit Zweck, Zeitpunkt, Textfassung und pseudonymen Herkunftsangaben, um den Nachweis nach Art. 7 Abs. 1 DSGVO führen zu können (Art. 6 Abs. 1 lit. f DSGVO). Die Herkunftsangaben entfernen wir, sobald sie dafür nicht mehr erforderlich sind; bei einwilligungsbasierten Verarbeitungen bleibt der Nachweis bis zu Ihrem Widerruf erhalten.

Einwilligungs-Quote: Wir zählen, wie oft der Cookie-Banner angezeigt und die Kategorie „Marketing“ angenommen oder abgelehnt wird — ausschließlich als Tageszähler ohne Sitzungs- oder Kundenkennung, eine Zuordnung zu einer Person ist nicht möglich (Art. 6 Abs. 1 lit. f DSGVO). Eine Einwilligung nach § 25 TDDDG ist dafür nicht erforderlich.

14. Speicherdauer und Löschung

Wir löschen personenbezogene Daten, sobald sie für ihren Zweck nicht mehr erforderlich sind und keine gesetzlichen Aufbewahrungspflichten entgegenstehen; andernfalls schränken wir die Verarbeitung auf den Aufbewahrungszweck ein. Gesetzliche Aufbewahrung: 6 Jahre nach § 257 HGB bzw. 10 Jahre nach § 147 AO (Art. 6 Abs. 1 lit. c DSGVO). Die für die einzelne Verarbeitung maßgeblichen Kriterien nennen wir im jeweiligen Abschnitt.

Löschen Sie Ihr Website-Konto, entfernen wir alle kontobezogenen personenbezogenen Daten. Der aus dem Buchungssystem gespiegelte Rechnungs- und Terminbestand bleibt bestehen, weil er der gesetzlichen Aufbewahrungspflicht (§ 147 AO) unterliegt; mit der Löschung Ihrer Konto-Daten entfällt dessen Personenbezug.

15. Ihre Rechte, Widerspruch und Beschwerde

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO). Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO), ohne dass die Rechtmäßigkeit der bisherigen Verarbeitung berührt wird.

Der Verarbeitung Ihrer Daten für Zwecke der Direktwerbung können Sie jederzeit widersprechen (Art. 21 Abs. 2 DSGVO).

Zur Ausübung Ihrer Rechte: datenschutz@aproposhaare.de, das Anfrageformular (Link unten) oder — mit Website-Konto — der Kundenbereich unter „Mein Profil“. Ohne Website-Konto erfolgt die Löschung im Buchungssystem nach Verifizierung Ihrer Anfrage per E-Mail, innerhalb von 30 Tagen ab dieser Verifizierung (Art. 12 Abs. 3 DSGVO). Zur Bearbeitung führen wir eine Anfrage-Akte mit Name, E-Mail-Adresse und Anfragehistorie (Art. 6 Abs. 1 lit. c DSGVO i.V.m. Art. 12 DSGVO), aufbewahrt, solange dies zum Nachweis der ordnungsgemäßen Bearbeitung erforderlich ist.

Unabhängig davon haben Sie das Recht, sich bei einer Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere beim Landesbeauftragten für den Datenschutz und die Informationsfreiheit Baden-Württemberg (www.baden-wuerttemberg.datenschutz.de).

Datenschutzanfrage stellen