Datenschutz

Datenschutzerklärung

Stand: Oktober 2026

---

1. Verantwortliche Stelle

Verantwortlich für die Verarbeitung personenbezogener Daten im Sinne von Art. 4 Nr. 7 DSGVO ist:

Vlere Sogojeva & Zejnepe Bunjaku Sogojeva GbR
Markenname: Vlera Cosmetics
vertreten durch die Gesellschafterinnen Vlere Sogojeva und Zejnepe Bunjaku Sogojeva
Menglinghauser Str. 105
44227 Dortmund
Deutschland

E-Mail: info@vleracosmetics.de
Telefon: +49 173 9249196

Datenschutzbeauftragte/r: Wir sind gesetzlich nicht verpflichtet, eine/n Datenschutzbeauftragte/n zu benennen, und haben von einer freiwilligen Benennung abgesehen. Für alle Fragen zum Datenschutz und zur Ausübung Ihrer Rechte wenden Sie sich bitte unmittelbar an die oben genannten Kontaktdaten.

---

2. Geltungsbereich dieser Erklärung

Diese Datenschutzerklärung gilt einheitlich für alle Kanäle, über die wir mit Ihnen in Kontakt treten:

---

3. Grundsätze unserer Datenverarbeitung

Wir verarbeiten personenbezogene Daten ausschließlich auf Grundlage der DSGVO, des BDSG und des TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, vormals TTDSG). Wir erheben nur die Daten, die wir für den jeweiligen Zweck tatsächlich benötigen (Datenminimierung, Art. 5 Abs. 1 lit. c DSGVO), und löschen sie, sobald der Zweck entfällt und keine gesetzliche Aufbewahrungspflicht entgegensteht.

Rechtsgrundlagen im Überblick (Art. 6 Abs. 1 DSGVO):

• lit. a — Einwilligung: Sie haben aktiv zugestimmt (z. B. Beauty-Analyse-Quiz, WhatsApp-Kontaktaufnahme, Angaben zu Ihrer Haut, Fotoaufnahmen).
• lit. b — Vertrag / vorvertragliche Maßnahmen: Erforderlich zur Terminvereinbarung, zur Abwicklung einer Vorauszahlung und zur Durchführung der Behandlung.
• lit. c — Rechtliche Verpflichtung: Insbesondere steuerrechtliche Aufbewahrungspflichten sowie verbraucherrechtliche Bestätigungs- und Informationspflichten bei Buchungen mit Vorauszahlung.
• lit. f — Berechtigtes Interesse: Sicherer und störungsfreier Betrieb unserer Systeme, Nachweis erteilter Einwilligungen, Umsetzung von Widersprüchen.

Soweit wir besondere Kategorien personenbezogener Daten verarbeiten — dazu können Angaben zu Ihrer Haut und Behandlungsfotos gehören —, stützen wir uns zusätzlich auf Art. 9 Abs. 2 lit. a DSGVO — Ihre ausdrückliche Einwilligung.

---

4. Nutzung unserer Website (vleracosmetics.de)

4.1 Bereitstellung der Website und Server-Logfiles

Beim Aufruf unserer Website werden durch unseren Hosting-Dienstleister automatisch Informationen verarbeitet, die Ihr Browser übermittelt. Dies ist technisch erforderlich, um Ihnen die Website anzeigen zu können.

Verarbeitete Daten: IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seite/Datei, übertragene Datenmenge, Meldung über erfolgreichen Abruf, verwendeter Browsertyp und dessen Version, Betriebssystem, ggf. die zuvor besuchte Seite (Referrer).

Zweck: Aufbau und Auslieferung der Website, Gewährleistung der Systemstabilität und -sicherheit, Abwehr und Aufklärung von Angriffen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im technisch fehlerfreien und sicheren Betrieb unseres Internetauftritts.

Empfänger: Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA (Hosting). Siehe Ziffer 16 zur Übermittlung in die USA.

Speicherdauer: Die Protokolldaten sind für uns lediglich eine Stunde lang abrufbar; danach werden sie von unserem Hosting-Dienstleister gelöscht. Unabhängig davon kann Vercel technische Daten im Rahmen eigener Sicherheits-, Missbrauchsabwehr- und Abrechnungsprozesse verarbeiten; hierauf haben wir keinen Einfluss. Näheres regeln die Datenschutzhinweise von Vercel.

---

4.2 Reichweitenmessung mit eigener, cookiefreier Statistik

Wir möchten verstehen, welche Inhalte unserer Website genutzt werden. Dafür setzen wir kein Analysewerkzeug eines Drittanbieters ein, sondern eine eigene, bewusst datensparsame Zählung in unserer eigenen Datenbank.

Wie wir dabei vorgehen:

• Es werden keine Cookies gesetzt und kein Web-Storage (Local Storage, Session Storage) verwendet.
• Es werden keinerlei Eigenschaften Ihres Endgeräts clientseitig ausgelesen — weder Bildschirmauflösung noch installierte Schriftarten, Zeitzone, Sprachliste oder vergleichbare Merkmale. Ein Zugriff auf Informationen in Ihrem Endgerät im Sinne des § 25 TDDDG findet damit nicht statt.
• Die Geräteklasse (etwa Mobilgerät oder Desktop) leiten wir ausschließlich serverseitig aus dem technisch ohnehin übermittelten User-Agent-Header ab. Der User-Agent selbst wird nicht gespeichert.
• Eine Sitzungskennung besteht nur im flüchtigen Arbeitsspeicher der geöffneten Seite. Sie wird nicht auf Ihrem Gerät abgelegt und ist mit dem Schließen der Seite verloren.
• Es werden keine Nutzerprofile gebildet, keine Daten an Dritte weitergegeben und keine seitenübergreifende Wiedererkennung vorgenommen.

Verarbeitete Daten: aufgerufene Seite, Zeitpunkt des Aufrufs, abgeleitete Geräteklasse.

Zweck: Statistische Auswertung der Nutzung, Verbesserung unseres Angebots.

Rechtsgrundlage: Eine Zuordnung der ausgewerteten Daten zu Ihrer Person ist uns nicht möglich; die DSGVO findet auf sie daher keine Anwendung. Soweit im Erhebungsvorgang gleichwohl ein Personenbezug bestehen sollte, stützen wir uns auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer bedarfsgerechten Gestaltung unseres Angebots).

---

4.3 Cookies und Einwilligungsmanagement

Auf unserer Website setzen wir Cookies und vergleichbare Technologien ein. Cookies sind kleine Textdateien, die auf Ihrem Endgerät gespeichert werden. Wir unterscheiden dabei:

Technisch notwendige Technologien sind für den Betrieb der Website erforderlich, etwa für Sicherheitsfunktionen, die Online-Terminbuchung oder die Speicherung Ihrer Cookie-Auswahl. Diese setzen wir ohne Ihre Einwilligung auf Grundlage von § 25 Abs. 2 Nr. 2 TDDDG und Art. 6 Abs. 1 lit. f DSGVO ein.

Einwilligungspflichtige Technologien setzen wir ausschließlich nach Ihrer vorherigen Einwilligung ein. Rechtsgrundlage sind § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Wir fassen sie in zwei Kategorien zusammen:

• Statistik: unsere eigene Klick-, Scroll- und Ladezeit-Auswertung (Ziffer 4.8).
• Marketing: Google Ads (Ziffer 4.9) und Meta-Pixel (Ziffer 4.10).

Die betreffenden Programmcodes werden technisch erst nach Ihrer Einwilligung geladen, nicht lediglich stumm geschaltet.

Zuordnung von Buchungen zu unseren Anzeigen (nur mit Einwilligung „Marketing"): Gelangen Sie über einen Link mit Kampagnen-Kennungen (z. B. aus einer Anzeige) auf unsere Website, speichern wir diese Angaben bis zu 90 Tage in Ihrem Browser (Local Storage): die Kampagnen-Parameter (sog. UTM-Parameter, z. B. Quelle und Kampagne), die Klick-Kennung der Anzeige (bei Google „gclid", „gbraid" bzw. „wbraid", bei Meta „fbclid") und den Zeitpunkt des Besuchs. Buchen Sie innerhalb dieses Zeitraums online einen Termin, auch bei einem späteren Besuch, übernehmen wir diese Angaben zusammen mit Ihrer Einwilligungsentscheidung und ggf. den Kennungen des Meta-Pixels (Ziffer 4.10) in Ihre Buchung. So können wir erkennen, welche Anzeige zu welcher Buchung und zu welchen Folgeterminen geführt hat. Ohne Einwilligung speichern wir in Ihrem Browser nichts davon, und an Ihrer Buchung werden nur die Kampagnen-Parameter des aktuellen Besuchs vermerkt (Ziffer 4.4). Widerrufen Sie Ihre Einwilligung, löschen wir den Eintrag in Ihrem Browser sofort. Die Klick-Kennungen an Ihrer Buchung löschen wir 120 Tage nach der Buchung; vermerkt bleibt, ob eine Einwilligung vorlag. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG.

Ihre Einwilligung: Beim ersten Aufruf unserer Website erscheint ein Einwilligungsbanner. Dort können Sie allen Kategorien zustimmen, alle optionalen Kategorien ablehnen (dies ist auf der ersten Ebene des Banners genauso einfach möglich wie das Zustimmen) oder einzelne Kategorien gezielt auswählen. Es sind keine optionalen Kategorien vorausgewählt. Ohne Ihre aktive Entscheidung werden ausschließlich technisch notwendige Technologien eingesetzt. Das bloße Weitersurfen gilt nicht als Einwilligung.

Widerruf: Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft ändern oder widerrufen, über den Link „Cookie-Einstellungen" in der Fußzeile jeder Seite. Der Widerruf ist genauso einfach wie die Erteilung der Einwilligung.

Dokumentation: Ihre Auswahl speichern wir zusammen mit dem Zeitpunkt und der Version des Einwilligungstextes ausschließlich in Ihrem Browser (Local Storage), damit das Banner nicht bei jedem Seitenaufruf erneut erscheint. Diese Angaben werden nicht an uns oder Dritte übermittelt. Die Einwilligungsverwaltung ist eine eigene Lösung ohne externen Anbieter. Sie können die Angaben jederzeit löschen, indem Sie die Website-Daten in Ihrem Browser entfernen; das Banner erscheint dann erneut. Rechtsgrundlage für die Speicherung Ihrer Auswahl: § 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 7 Abs. 1 DSGVO.

Schriftarten: Alle verwendeten Schriftarten sind lokal auf unserem Server eingebunden. Es wird keine Verbindung zu Servern von Google oder anderen Schriftarten-Anbietern aufgebaut.

Karten und externe Inhalte: Unsere Anfahrtsbeschreibung verweist über einen einfachen Hyperlink auf einen Kartendienst. Es sind keine Karten eingebettet; eine Datenübertragung an den Kartenanbieter findet erst statt, wenn Sie den Link aktiv anklicken.

Social Media: Auf unserer Website sind keine Social-Media-Plugins eingebunden. Verweise auf unsere Profile erfolgen ausschließlich über einfache Links.

---

4.4 Online-Terminbuchung über die Website

Über unsere Website können Sie einen Behandlungstermin buchen. Ein Kundenkonto ist dafür nicht erforderlich. Bei Buchungen über die Website findet keine Online-Zahlung statt; Sie bezahlen im Studio (Ziffer 14.1). Eine Vorauszahlung gibt es derzeit ausschließlich für einzelne Angebote, die Sie über unseren WhatsApp-Chat buchen (Ziffer 5.7).

Verarbeitete Daten:

• Name (Pflichtangabe)
• Telefonnummer (Pflichtangabe)
• E-Mail-Adresse (Pflichtangabe — für die Terminbestätigung, Erinnerung und Absage-Links)
• gewünschte Behandlung
• gewünschter Termin (Datum, Uhrzeit)
• Ihre IP-Adresse sowie der Zeitstempel der Absendung — ausschließlich als Nachweis der von Ihnen erteilten Einwilligung(en)
• wie Sie zu uns gefunden haben: Einstiegsseite, ggf. die Domain der zuvor besuchten Website (ohne genaue Adresse), die Kampagnen-Parameter des Links (UTM-Parameter) und die Geräteklasse (Mobil/Desktop); mit Einwilligung „Marketing" zusätzlich die Angaben aus Ziffer 4.3 („Zuordnung von Buchungen zu unseren Anzeigen")

Zwecke: Prüfung der Verfügbarkeit, Reservierung und Bestätigung des Termins, Kontaktaufnahme bei Rückfragen oder Terminänderungen, Versand von Terminerinnerungen, Nachweis erteilter Einwilligungen.

Rechtsgrundlagen:

• Name, Telefonnummer, E-Mail, Behandlung, Termin: Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage sowie Erfüllung des Behandlungsvertrages).
• IP-Adresse und Zeitstempel: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, die Erteilung einer Einwilligung nachweisen zu können (Art. 5 Abs. 2, Art. 7 Abs. 1 DSGVO).
• Herkunftsangaben ohne Einwilligung: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, zu verstehen, über welche Wege und Kampagnen Buchungen zustande kommen. Diese Angaben werden ausschließlich aus dem aufgerufenen Link und den ohnehin übermittelten Browser-Angaben gewonnen; auf Ihrem Endgerät wird dafür nichts gespeichert oder ausgelesen.

Empfänger: Supabase (Datenbank, EU-Region), Resend (Versand der Bestätigungs- und Erinnerungs-E-Mails, EU-Region), Google Ireland Ltd. (Übertragung des Termins in unseren Studio-Kalender, siehe Ziffer 10), Meta Platforms Ireland Ltd. (nur bei Erinnerungen über WhatsApp, siehe Ziffer 5).

Speicherdauer:

• IP-Adresse und Zeitstempel: 90 Tage, danach automatische Löschung.
• Übrige Buchungsdaten: siehe Ziffer 8 (Kundenkartei).

---

4.5 Beauty-Analyse-Quiz

Auf unserer Website bieten wir ein Beauty-Analyse-Quiz an. Sie beantworten dabei freiwillig Fragen zu Ihrem Hauttyp und Ihren Hautanliegen und sehen anschließend direkt auf der Seite eine Empfehlung. Auf Wunsch senden wir Ihnen eine individuelle Auswertung per E-Mail, die auch einen Aktionscode für unsere Behandlungen enthält.

Auswertung in Ihrem Browser: Solange Sie nur die Fragen beantworten und Ihre Empfehlung ansehen, findet die Auswertung ausschließlich in Ihrem Browser statt. Ihre Antworten werden dabei weder an uns übermittelt noch von uns gespeichert. Erst wenn Sie sich die Auswertung zusenden lassen, übermitteln Sie uns Ihre Antworten zusammen mit Ihren Kontaktdaten.

Verarbeitete Daten:

• Hauttyp: trocken, normal, Mischhaut, fettig oder empfindlich
• Hautanliegen: Falten und Anti-Aging, Akne und Unreinheiten, Pigmentflecken, Trockenheit und müde Haut, Cellulite und Körperformung, unerwünschte Haare, Augenbrauen und Lippen (Permanent Make-up)
• Ihre E-Mail-Adresse
• Zeitpunkt der Teilnahme sowie Ihre IP-Adresse und der Zeitstempel als Einwilligungsnachweis

Ein Freitextfeld gibt es im Quiz nicht.

Hinweis zu Gesundheitsdaten: Einzelne der wählbaren Anliegen — insbesondere „Akne und Unreinheiten" — beziehen sich auf ein Hautbild mit Krankheitswert. Ihre Angabe gilt in diesem Fall als Gesundheitsdatum und damit als besondere Kategorie personenbezogener Daten nach Art. 9 Abs. 1 DSGVO. Wir verarbeiten sie ausschließlich auf Grundlage Ihrer ausdrücklichen Einwilligung, die wir vor der Übermittlung Ihrer Antworten (beim Anfordern der Auswertung) gesondert einholen. Ohne diese Einwilligung werden Ihre Antworten nicht übermittelt.

Zwecke: Erstellung und Versand Ihrer persönlichen Auswertung, Versand des zugehörigen Aktionscodes, Nachweis Ihrer Einwilligung.

Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. a DSGVO — Ihre Einwilligung in die Auswertung Ihrer Angaben.
• Art. 9 Abs. 2 lit. a DSGVO — Ihre gesonderte, ausdrückliche Einwilligung für Angaben, die Rückschlüsse auf Ihren Gesundheitszustand zulassen.
• Art. 6 Abs. 1 lit. a DSGVO — Ihre gesonderte Einwilligung in den Versand des Ergebnisses und des Aktionscodes per E-Mail.
• IP-Adresse und Zeitstempel: Art. 6 Abs. 1 lit. f DSGVO (Nachweis der Einwilligung).

Wichtig: Die Auswertung des Quiz ist eine kosmetische Orientierungshilfe. Sie stellt keine medizinische Diagnose dar und ersetzt keine ärztliche oder dermatologische Beratung. Es findet keine automatisierte Entscheidung mit rechtlicher Wirkung im Sinne des Art. 22 DSGVO statt.

Empfänger: Supabase (EU-Region), Resend (EU-Region).

Speicherdauer: Ihre Quiz-Angaben und Ihre E-Mail-Adresse speichern wir bis zum Widerruf Ihrer Einwilligung, längstens jedoch 24 Monate nach Ihrer Teilnahme; anschließend werden sie automatisch gelöscht. IP-Adresse und Zeitstempel: 90 Tage.

Widerruf: Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen — formlos per E-Mail an info@vleracosmetics.de. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

---

4.6 Kontaktaufnahme

Wenn Sie uns über das Kontaktformular, per E-Mail oder telefonisch kontaktieren, verarbeiten wir die von Ihnen mitgeteilten Daten (insbesondere Name, Kontaktdaten und den Inhalt Ihrer Anfrage), um Ihr Anliegen zu bearbeiten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, wenn Ihre Anfrage auf einen Vertrag oder dessen Anbahnung gerichtet ist; im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen).

Speicherdauer: Wir löschen Ihre Anfrage, sobald sie abschließend bearbeitet ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Bei rein informatorischen Anfragen ohne Terminbuchung regelmäßig spätestens 6 Monate nach Abschluss der Korrespondenz.

---

4.7 Newsletter

Wir versenden derzeit keinen Newsletter. Sofern auf unserer Website ein Anmeldefeld für einen künftigen Newsletter angeboten wird, speichern wir Ihre Angabe ausschließlich, um Sie bei Einführung eines Newsletters informieren zu können. Ein Versand von Werbe-E-Mails findet aktuell nicht statt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO.

Widerruf: jederzeit formlos per E-Mail an info@vleracosmetics.de.

---

4.8 Klick-, Scroll- und Ladezeit-Auswertung (Kategorie „Statistik")

Wenn Sie in der Kategorie „Statistik" eingewilligt haben, werten wir aus, wie weit auf einer Seite gescrollt wird und welche Elemente angeklickt werden. So erkennen wir zum Beispiel, ob ein Knopf übersehen wird. Wir nutzen dafür kein Werkzeug eines Drittanbieters, sondern eine eigene Lösung; die Daten liegen in unserer Datenbank bei Supabase in der EU.

Verarbeitete Daten: aufgerufene Seite (ohne angehängte Parameter), maximale Scrolltiefe, angeklickte Elemente (z. B. „Knopf: Termin buchen") mit dem zugehörigen Seitenabschnitt und der relativen Klickposition, eine zufällige Kennung des einzelnen Seitenaufrufs. Bei Formularfeldern erfassen wir nur die Art des Feldes, niemals Ihre Eingaben. Auf den Seiten mit Beauty-Analyse-Quiz erfassen wir bei Klicks nur Art und Position des Elements, keine Antworttexte und keine Überschriften.

Ladezeiten: Außerdem messen wir, wie schnell unsere Seiten bei Ihnen laden und auf Eingaben reagieren und ob Inhalte beim Laden verrutschen (sog. „Web Vitals“). Dabei verarbeiten wir die Einstiegsseite (ohne angehängte Parameter), die grobe Geräteklasse (Handy oder Computer, ermittelt auf unserem Server aus der Browserkennung, die wir nicht speichern), die Art der Internetverbindung (z. B. „4G“, nur sofern Ihr Browser sie mitteilt) und eine zufällige Kennung des einzelnen Seitenaufrufs. Auch diese Angaben lassen sich keiner Person zuordnen.

Was wir nicht tun: Es werden keine Cookies gesetzt und nichts in Ihrem Browser gespeichert, keine Sitzungen aufgezeichnet, keine seitenübergreifenden Kennungen gebildet und keine Daten mit Ihrer Kundenkartei oder einer Buchung zusammengeführt. Eine Zuordnung zu Ihrer Person ist uns nicht möglich.

Zweck: Verbesserung der Bedienbarkeit und Gestaltung unserer Website.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG (Ihre Einwilligung).

Widerruf: jederzeit über „Cookie-Einstellungen" in der Fußzeile.

Speicherdauer: 90 Tage, danach automatische Löschung.

---

4.9 Google Ads: Conversion-Messung (Kategorie „Marketing")

Wir bewerben unsere Leistungen über das Werbeprogramm Google Ads der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google"). Wenn Sie in der Kategorie „Marketing" eingewilligt haben, setzen wir auf unserer Website das Google-Tag (gtag.js) ein.

Conversion-Messung: Gelangen Sie über eine unserer Anzeigen auf unsere Website, speichert Google eine Kennung in Ihrem Endgerät. Schließen Sie anschließend eine Online-Terminbuchung ab oder schicken Sie im Buchungsablauf eine Kontaktanfrage ab, erkennt Google, dass dies auf unsere Anzeige zurückgeht. Dabei übermitteln wir an Google den Wert der Buchung und die Buchungs- bzw. Anfragenummer (um Doppelzählungen zu vermeiden), jedoch keine Angaben dazu, welche Behandlung Sie gebucht haben.

Erweiterte Conversion-Messung („Enhanced Conversions"): Zusätzlich übermitteln wir bei Abschluss der Buchung Ihre E-Mail-Adresse und Telefonnummer in verschlüsselter (gehashter) Form. Google gleicht diese Prüfwerte mit angemeldeten Google-Konten ab, um die Buchung der Anzeige auch dann zuordnen zu können, wenn die gespeicherte Kennung fehlt. Nach eigenen Angaben verwendet Google die gehashten Daten ausschließlich für diesen Abgleich.

Meldung vereinbarter und wahrgenommener Termine: Geht Ihre Buchung oder Kontaktanfrage auf einen Klick auf eine unserer Google-Anzeigen zurück und haben Sie dabei in der Kategorie „Marketing" eingewilligt, teilen wir Google mit, wenn anschließend ein Termin vereinbart wurde (z. B. über WhatsApp oder telefonisch) und wenn Sie den Termin tatsächlich wahrgenommen haben. Das gilt auch für Folgetermine, die innerhalb von 90 Tagen nach dem Anzeigen-Klick stattfinden (z. B. Behandlung nach einer Beratung). Wir übermitteln dabei ausschließlich die Klick-Kennung der Anzeige, den Zeitpunkt des Termins und den gezahlten Betrag, keine Namen, Kontaktdaten oder Angaben zur Behandlung. So kann Google unsere Anzeigen Menschen zeigen, die tatsächlich zu uns kommen, statt nur möglichst vielen Klickenden.

Wir erhalten von Google ausschließlich statistische Auswertungen (z. B. wie viele Buchungen auf eine Anzeige zurückgehen). Eine Identifizierung einzelner Personen ist uns dadurch nicht möglich.

Remarketing: Haben Sie eingewilligt, kann Google Ihnen anschließend auf anderen Websites innerhalb des Google-Werbenetzwerks Anzeigen zu unseren Leistungen einblenden.

Einwilligungsmodus: Wir übermitteln Google Ihre Einwilligungsentscheidung über den Einwilligungsmodus („Consent Mode"). Ohne Ihre Einwilligung wird das Google-Tag gar nicht geladen; es findet dann keinerlei Übermittlung an Google statt.

Verarbeitete Daten: Kennungen in Ihrem Endgerät (Cookie-IDs, Klick-Kennung der Anzeige), IP-Adresse, Browser- und Geräteinformationen, aufgerufene Seiten, Zeitpunkt, Wert und Nummer einer Buchung oder Kontaktanfrage, bei vereinbarten und wahrgenommenen Terminen Zeitpunkt und Betrag, sowie gehashte E-Mail-Adresse und Telefonnummer.

Zwecke: Erfolgsmessung und Abrechnung unserer Anzeigen, Optimierung der Anzeigenausspielung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG, ausschließlich auf Grundlage Ihrer Einwilligung.

Verantwortlichkeit: Google verarbeitet die Daten zur Conversion-Messung als eigenständig Verantwortlicher nach den Google-Ads-Datenschutzbedingungen für Verantwortliche (https://business.safety.google/adscontrollerterms/).

Drittlandbezug: Google kann Daten an die Google LLC in den USA übermitteln. Siehe Ziffer 16.

Widerruf: jederzeit über „Cookie-Einstellungen" in der Fußzeile sowie über die Werbeeinstellungen von Google: https://myadcenter.google.com

Speicherdauer: Die Kennungen auf Ihrem Endgerät bleiben bis zu 90 Tage gespeichert. Über die Speicherdauer bei Google entscheidet Google eigenständig. Weitere Informationen: https://policies.google.com/privacy und https://policies.google.com/technologies/ads

Anrufe über unsere Anzeigen: Unsere Anzeigen in der Google-Suche können eine Schaltfläche zum direkten Anruf enthalten. Rufen Sie uns darüber an, zeigt Google dafür eine Google-Weiterleitungsnummer an und leitet den Anruf an unsere Rufnummer weiter. Google erfasst dabei Anrufdaten: Ihre Rufnummer, Beginn, Dauer und Ende des Anrufs sowie ob er angenommen wurde. Wir erhalten daraus Auswertungen zur Erfolgsmessung unserer Anzeigen (z. B. wie viele Anrufe eine Anzeige ausgelöst hat).

Google bietet außerdem eine Aufzeichnung des Gesprächs an, die in unserem Google-Ads-Konto eingeschaltet ist. Nach Angaben von Google ist diese Funktion derzeit nur für Rufnummern in den USA und Kanada verfügbar; Gespräche mit unserer deutschen Rufnummer werden daher nicht aufgezeichnet. Sollte Google die Aufzeichnung künftig auch hierfür anbieten, werden Sie zu Beginn des Anrufs durch eine automatische Ansage darauf hingewiesen. Möchten Sie keine Aufzeichnung, beenden Sie den Anruf bitte und rufen Sie uns direkt unter der in unserem Impressum angegebenen Nummer an; dann findet weder eine Aufzeichnung noch eine Anruferfassung durch Google statt. Wir laden Aufzeichnungen nicht herunter und speichern sie nicht in eigenen Systemen.

Rechtsgrundlage (Anrufe): Für die Anrufdaten Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, den Erfolg unserer Werbung zu messen. Für eine etwaige Aufzeichnung Art. 6 Abs. 1 lit. a DSGVO; Ihre Einwilligung erklären Sie, indem Sie das Gespräch nach der Ansage fortsetzen. Google ist hierbei eigenständig Verantwortlicher (siehe „Verantwortlichkeit" oben). Über die Speicherdauer der Anrufdaten entscheidet Google eigenständig.

---

4.10 Meta-Pixel auf der Website (Kategorie „Marketing")

Wenn Sie in der Kategorie „Marketing" eingewilligt haben, setzen wir auf unserer Website den Meta-Pixel der Meta Platforms Ireland Ltd., Merrion Road, Dublin 4, D04 X2K5, Irland („Meta") ein.

Wie es funktioniert: Nach Ihrer Einwilligung wird ein Programmcode geladen, der eine Kennung in Ihrem Endgerät speichert bzw. ausliest. Übermittelt werden Seitenaufrufe, das Absenden einer Kontaktanfrage auf unserer Website oder unseren Anzeigen-Landingpages sowie der Abschluss einer Online-Terminbuchung (mit Wert und Buchungsnummer, ohne Angabe der gebuchten Behandlung).

Serverseitige Übermittlung („Conversions API"): Haben Sie bei Ihrer Online-Buchung oder Kontaktanfrage in der Kategorie „Marketing" eingewilligt, übermitteln wir zusätzlich über eine Serververbindung an Meta, dass Sie auf unserer Website oder einer unserer Anzeigen-Landingpages eine Kontaktanfrage abgeschickt haben oder dass ein Termin gebucht, storniert oder wahrgenommen wurde. Dies gilt auch für spätere Termine, die Sie z. B. im Studio vereinbaren. Dabei übermitteln wir Ihre E-Mail-Adresse, Telefonnummer, Ihren Namen und eine interne Kundenkennung ausschließlich in verschlüsselter (gehashter) Form, außerdem die Kennungen des Meta-Pixels bzw. die Klick-Kennung der Anzeige, die Kampagnen-Kennung, die Bezeichnung der gebuchten Leistung, ob es sich um eine Beratung oder Behandlung handelt, sowie den Wert des Termins; bei der Buchung bzw. Kontaktanfrage selbst zusätzlich Ihre IP-Adresse und die Kennung Ihres Browsers (User-Agent), die wir dafür nicht speichern. Browser- und Serverübermittlung tragen dieselbe Ereigniskennung, damit Meta die Buchung bzw. Kontaktanfrage nur einmal zählt. Ohne Ihre Einwilligung findet keine Übermittlung statt.

Verarbeitete Daten: Kennungen in Ihrem Endgerät (Cookie-IDs), IP-Adresse, Browser- und Geräteinformationen, aufgerufene Seiten und ausgelöste Ereignisse, Zeitpunkt sowie bei der serverseitigen Übermittlung die vorstehend genannten gehashten Kontaktdaten und Termin-Angaben.

Zwecke: Messung der Wirksamkeit unserer Anzeigen, Optimierung der Anzeigenausspielung, Bildung von Zielgruppen für weitere Werbemaßnahmen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO sowie § 25 Abs. 1 TDDDG, ausschließlich auf Grundlage Ihrer Einwilligung. Ohne Einwilligung wird der Pixel nicht geladen und kein Ereignis an Meta übermittelt.

Gemeinsame Verantwortlichkeit: Für die Erhebung und Übermittlung der Daten an Meta sind wir und Meta gemeinsam Verantwortliche nach Art. 26 DSGVO. Die entsprechende Vereinbarung („Zusatz für Verantwortliche") finden Sie unter https://www.facebook.com/legal/controller_addendum. Darin übernimmt Meta die Erfüllung der Betroffenenrechte nach Art. 12–22 DSGVO für die bei Meta verarbeiteten Daten. Für die anschließende eigene Verarbeitung durch Meta, insbesondere die Zusammenführung mit Ihrem Meta-Nutzerkonto, ist Meta allein verantwortlich. Informationen dazu: https://www.facebook.com/privacy/policy

Drittlandbezug: Meta kann Daten an die Meta Platforms, Inc. in den USA übermitteln. Siehe Ziffer 16.

Widerruf: jederzeit über „Cookie-Einstellungen" in der Fußzeile. Zusätzlich können Sie in den Einstellungen Ihres Meta-Kontos der Nutzung von Daten für personalisierte Werbung widersprechen.

Speicherdauer: Die Kennungen auf Ihrem Endgerät bleiben bis zu 90 Tage gespeichert. Über die Speicherdauer bei Meta entscheidet Meta eigenständig.

---

5. Kommunikation über WhatsApp und KI-Assistentin „Mira"

Wir bieten Ihnen die Möglichkeit, mit uns über WhatsApp zu kommunizieren. Auf unserer Nummer antwortet eine KI-gestützte Assistentin namens „Mira". Sie beantwortet Fragen zu unseren Behandlungen, bucht, verschiebt und storniert Termine und versendet Terminerinnerungen. Für einzelne Angebote — derzeit das Kennenlernangebot Lymphdrainage — können Sie im Chat verbindlich buchen und den Preis vorab online bezahlen (Ziffer 5.7).

5.1 Grundsätzliches zur Nutzung von WhatsApp

Für die WhatsApp-Kommunikation nutzen wir die WhatsApp Business Platform (Cloud API) der Meta Platforms Ireland Ltd., Merrion Road, Dublin 4, D04 X2K5, Irland. Die Datenspeicherung für unsere Rufnummer ist auf Deutschland eingestellt.

Bitte beachten Sie: Wenn Sie uns über WhatsApp kontaktieren, verarbeitet Meta unabhängig von uns Daten über Sie (insbesondere Ihre Rufnummer sowie Verbindungs- und Nutzungsdaten). Auf diese Verarbeitung haben wir keinen Einfluss; sie erfolgt in eigener Verantwortung von Meta. Näheres entnehmen Sie bitte den Datenschutzhinweisen von WhatsApp: https://www.whatsapp.com/legal/privacy-policy-eur

Wenn Sie die Kommunikation über WhatsApp vermeiden möchten, erreichen Sie uns jederzeit gleichwertig per E-Mail an info@vleracosmetics.de oder telefonisch unter +49 173 9249196.

Verarbeitete Daten: Ihre Mobilfunknummer, Ihr bei WhatsApp hinterlegter Profilname, Inhalt und Zeitpunkt der ausgetauschten Nachrichten sowie ggf. Angaben, die Sie uns im Chat mitteilen (z. B. Wunschtermin, gewünschte Behandlung).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit die Kommunikation der Anbahnung oder Durchführung eines Behandlungsvertrages dient; im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer effizienten Kundenkommunikation über den von Ihnen gewählten Kanal).

Speicherdauer: Chatverläufe werden 30 Tage nach der letzten Nachricht vollständig gelöscht. Terminbezogene Daten führen wir davon unabhängig in unserer Kundenkartei (Ziffer 8). Kommt kein Termin zustande, halten wir Ihre Anfrage fest (Rufnummer, Profilname, angefragte Behandlung, Zeitpunkte des Kontakts, eine kurze automatisch erstellte Stichwort-Zusammenfassung des Anliegens, z. B. „Frage zum Preis“, und, sofern Sie über eine unserer Anzeigen in den Chat gelangt sind, die Kennung dieser Anzeige), damit wir eine spätere Rückmeldung Ihrer ursprünglichen Anfrage zuordnen können. Diese Angaben werden 12 Monate nach dem letzten Kontakt vollständig anonymisiert; es verbleiben ausschließlich statistische Zählwerte ohne Personenbezug.

---

5.2 Nachfass-Nachricht nach Absenden eines Anzeigen-Formulars

Wenn Sie auf einer unserer Werbe-Landingpages ein Formular absenden und dabei die Checkbox

„Ich bin einverstanden, dass ihr mich zu meiner Anfrage per WhatsApp kontaktiert."

aktiv angehakt haben, senden wir Ihnen eine Nachricht per WhatsApp, um Ihre Anfrage nachzufassen.

Diese Einwilligung ist bewusst eng gefasst:

• Jede Absendung eines Formulars mit angehakter Checkbox gilt als eigene Einwilligung für genau eine Nachfass-Nachricht zu genau dieser Anfrage. Es handelt sich nicht um eine allgemeine oder dauerhafte Werbeeinwilligung.
• Eine erneute Nachricht erhalten Sie nur, wenn Sie eine neue Anfrage stellen, also erneut ein Formular mit angehakter Checkbox absenden.
• Zwischen zwei Nachrichten liegen in jedem Fall mindestens 14 Tage.

Verarbeitete Daten: Vor- und Nachname, E-Mail-Adresse, Telefonnummer, Kampagnen-Kennungen (UTM-Parameter) sowie IP-Adresse und Zeitstempel als Einwilligungsnachweis.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 7 Abs. 2 Nr. 2 UWG. Für den Einwilligungsnachweis: Art. 6 Abs. 1 lit. f DSGVO (Art. 5 Abs. 2, Art. 7 Abs. 1 DSGVO).

Widerruf: Sie können Ihre Einwilligung jederzeit und formlos widerrufen — es genügt eine kurze Nachricht im Chat (siehe Ziffer 5.5).

Speicherdauer: Lead-Daten werden nach 12 Monaten gelöscht bzw. vollständig anonymisiert, sofern in diesem Zeitraum kein Behandlungsvertrag zustande kommt — es verbleiben ausschließlich statistische Zählwerte ohne jeden Personenbezug (beworbene Behandlung, Kampagne, Datum, Ausgang). Kommt ein Termin zustande, gelten die Fristen der Kundenkartei (Ziffer 8).

---

5.3 Einsatz künstlicher Intelligenz (OpenAI)

Um Ihre Nachrichten zu verstehen und passende Antworten zu formulieren, übermitteln wir den Inhalt Ihrer Chat-Nachrichten sowie den zum Verständnis erforderlichen bisherigen Gesprächsverlauf an OpenAI (Nutzung der OpenAI-API). Die Verarbeitung erfolgt in unserem Auftrag auf Grundlage eines Auftragsverarbeitungsvertrages (Art. 28 DSGVO).

Was übermittelt wird: Der Text Ihrer Nachrichten und der Kontext des laufenden Gesprächs. Senden Sie eine Sprachnachricht, wird die Audiodatei zur Umwandlung in Text (Transkription) ebenfalls an OpenAI übermittelt; gespeichert wird bei uns nur die Text-Transkription, die Audiodatei selbst speichern wir nicht. Senden Sie ein Bild, wird dieses zur inhaltlichen Einordnung ebenfalls an OpenAI übermittelt; das Bild speichern wir zusammen mit dem Gesprächsverlauf und löschen es mit diesem nach spätestens 30 Tagen. Ihre Telefonnummer und Ihre Kundenkartei werden nicht an OpenAI übermittelt.

Was nicht geschieht: Ihre Nachrichten werden nicht zum Training der KI-Modelle von OpenAI verwendet. Dies ist bei der von uns genutzten Schnittstelle (API) vertraglich ausgeschlossen.

Gesundheitsdaten: Unsere Assistentin ist ausdrücklich angewiesen, keine Gesundheitsdaten zu erheben. Bei gesundheitsbezogenen Fragen — etwa zu Hauterkrankungen, Medikamenten oder Vorerkrankungen — verweist sie auf ein persönliches Beratungsgespräch im Studio. Wir bitten Sie, im Chat keine Angaben zu Ihrer Gesundheit zu machen. Sollten Sie dies dennoch tun, erfolgt die Verarbeitung dieser Angaben allein auf Grundlage Ihrer freiwilligen Mitteilung; wir löschen solche Angaben, sobald wir sie bemerken, spätestens jedoch mit dem Chatverlauf nach 30 Tagen.

Rechtsgrundlage: Die Rechtsgrundlage entspricht derjenigen der zugrunde liegenden Kommunikation (Ziffer 5.1). OpenAI wird als Auftragsverarbeiter tätig und benötigt keine eigene Rechtsgrundlage.

Drittlandbezug: Siehe Ziffer 16.

Aggregierte Auswertung: Wir lassen uns täglich einen internen Auswertungsbericht erstellen. Dieser enthält ausschließlich aggregierte Zahlen ohne jeden Personenbezug (z. B. Anzahl der Gespräche, Anzahl gebuchter Termine, häufigste Themen). Einzelne Personen sind darin nicht identifizierbar.

---

5.4 Kennzeichnung der KI-Assistentin

Unsere Assistentin „Mira" gibt sich bereits in ihrer ersten Nachricht eindeutig als KI-System zu erkennen. Damit erfüllen wir die Transparenzpflicht für KI-Systeme, die zur Interaktion mit natürlichen Personen bestimmt sind (Art. 50 Abs. 1 der Verordnung (EU) 2024/1689 — „KI-Verordnung"). Sie können jederzeit verlangen, mit einem Menschen zu sprechen; schreiben Sie dazu einfach „Mensch" in den Chat oder rufen Sie uns an.

Einen Link zu dieser Datenschutzerklärung finden Sie jederzeit direkt in unserem WhatsApp-Unternehmensprofil sowie auf unserer Website.

---

5.5 Widerspruch und Sperrliste

Sie können der Kontaktaufnahme über WhatsApp jederzeit, formlos und ohne Angabe von Gründen widersprechen. Eine kurze Nachricht im Chat genügt — beispielsweise „kein Interesse", „stopp" oder „bitte nicht mehr schreiben".

Was dann geschieht:

1. Sie erhalten von uns keine weiteren WhatsApp-Nachrichten mehr.
2. Wir löschen alle Ihre übrigen Lead-Daten (Name, E-Mail-Adresse, Kampagnen-Kennungen, Chatverlauf).
3. Ausschließlich Ihre Telefonnummer speichern wir dauerhaft in einer internen Sperrliste. Nur so können wir technisch sicherstellen, dass Sie auch künftig keine Nachricht von uns erhalten.

Rechtsgrundlage für die Sperrliste: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse — das zugleich Ihrem Interesse dient — besteht darin, Ihren Widerspruch dauerhaft und zuverlässig umzusetzen (vgl. Art. 21 Abs. 3 DSGVO). Die Nummer wird ausschließlich zum Abgleich verwendet und für keinen anderen Zweck genutzt.

Speicherdauer Sperrliste: unbefristet, da der Zweck (dauerhafte Unterlassung) sonst nicht erreichbar wäre. Auf Wunsch löschen wir auch diesen Eintrag — dann können wir Ihren Widerspruch technisch allerdings nicht mehr berücksichtigen.

---

5.6 Terminerinnerungen

Zu von Ihnen gebuchten Terminen versenden wir Erinnerungen per WhatsApp und/oder E-Mail. WhatsApp-Erinnerungen enthalten Antwort-Schaltflächen, über die Sie den Termin bestätigen, verschieben oder absagen können.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Die Terminerinnerung ist Teil der Durchführung des mit Ihnen geschlossenen Vertrages und keine Werbung.

Möchten Sie keine Erinnerungen erhalten, teilen Sie uns dies bitte kurz mit.

---

5.7 Verbindliche Terminbuchung mit Vorauszahlung im Chat

Für einzelne Angebote — derzeit das Kennenlernangebot Lymphdrainage zum Preis von 19 € — können Sie im WhatsApp-Chat einen konkreten Termin verbindlich buchen und den Preis vorab online bezahlen. Die Zahlung wickelt der Zahlungsdienstleister Stripe ab (Ziffer 14.2). Für alle anderen Behandlungen bezahlen Sie weiterhin im Studio.

Ablauf:

1. Sie wählen im Chat die Behandlung und den Termin. Unsere Assistentin fasst die Buchung zusammen (Behandlung, Termin, Preis) und verweist auf unsere Allgemeinen Geschäftsbedingungen und die Widerrufsbelehrung.
2. Sie erhalten einen persönlichen Zahlungslink zu einer von Stripe betriebenen Bezahlseite. Dort geben Sie Ihre E-Mail-Adresse und Ihr Zahlungsmittel ein. Ihren Namen und Ihre Telefonnummer übergeben wir aus dem Chat an Stripe, damit Sie diese nicht erneut eingeben müssen; zusätzlich übermitteln wir eine interne Buchungsnummer, damit wir die Zahlung Ihrer Buchung zuordnen können.
3. Auf der Bezahlseite bestätigen Sie über eine gesonderte, nicht vorausgewählte Checkbox, dass wir mit der Behandlung vor Ablauf der Widerrufsfrist beginnen sollen und dass Sie Ihr Widerrufsrecht mit vollständiger Durchführung der Behandlung verlieren (§ 356 Abs. 5 BGB). Stripe speichert diese Bestätigung zur Zahlung; wir speichern sie mit Zeitpunkt und Textfassung zu Ihrer Buchung.
4. Nach erfolgreicher Zahlung erhalten Sie von uns eine Bestätigung im Chat sowie per E-Mail die Vertragsbestätigung mit Widerrufsbelehrung und Muster-Widerrufsformular. Den Zahlungsbeleg versendet Stripe in unserem Auftrag per E-Mail.

Verarbeitete Daten:

• aus dem Chat: Name, Mobilfunknummer, gewählte Behandlung, Termin, Buchungsnummer
• von Stripe an uns zurückgemeldet: Zahlungsstatus (bezahlt, nicht abgeschlossen, erstattet), Zeitpunkt und Betrag der Zahlung, Ihre E-Mail-Adresse, die von Stripe vergebene Kundenkennung, die gewählte Zahlungsart sowie bei Kartenzahlung die Kartenmarke und die letzten vier Ziffern der Kartennummer
• Ihre Bestätigung zum vorzeitigen Leistungsbeginn (Zeitpunkt, Textfassung, Kennung des Zahlungsvorgangs)
• gegebenenfalls Ihre Widerrufserklärung sowie Daten zu Umbuchungen und Erstattungen

Vollständige Karten- oder Kontodaten sehen wir zu keinem Zeitpunkt. Sie werden ausschließlich von Stripe und den beteiligten Zahlungsdienstleistern verarbeitet.

Zwecke: Verbindliche Reservierung des Termins, Abwicklung und Zuordnung der Vorauszahlung, Versand der Vertragsbestätigung und der gesetzlich vorgeschriebenen Verbraucherinformationen, Abwicklung von Umbuchungen, Erstattungen und Widerrufen, Nachweis Ihrer Bestätigung zum vorzeitigen Leistungsbeginn, Buchhaltung.

Rechtsgrundlagen:

• Buchung, Zahlung, Bestätigungen, Umbuchungen und Erstattungen: Art. 6 Abs. 1 lit. b DSGVO (Vertragsschluss und Vertragsdurchführung).
• Aufbewahrung der Buchungs- und Zahlungsdaten sowie Versand der Vertragsbestätigung und der Eingangsbestätigung bei einem Widerruf: Art. 6 Abs. 1 lit. c DSGVO (§ 147 AO; § 312f, § 356a BGB).
• Dokumentation Ihrer Bestätigung zum vorzeitigen Leistungsbeginn und etwaiger Widerrufserklärungen über die Vertragsabwicklung hinaus: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Nachweisbarkeit im Streitfall).

Empfänger: Stripe (Ziffer 14.2), Supabase (Speicherung der Buchungs- und Zahlungsdaten, EU-Region), Resend (Versand der Bestätigungs-E-Mails, EU-Region), Meta Platforms Ireland Ltd. (Zustellung der Chat-Nachrichten, Ziffer 5.1), Google Ireland Ltd. (Eintrag des Termins im Studio-Kalender, Ziffer 10), unsere Steuerberatung (Buchhaltung).

Speicherdauer: Der Chatverlauf wird wie in Ziffer 5.1 beschrieben 30 Tage nach der letzten Nachricht gelöscht. Buchungs- und Zahlungsdaten sowie Ihre Bestätigung zum vorzeitigen Leistungsbeginn führen wir davon unabhängig zu Ihrer Buchung in unserer Kundenkartei (Ziffer 8) und bewahren sie auf, solange steuerrechtliche Aufbewahrungsfristen (§ 147 AO) oder Verjährungsfristen (§§ 195, 199 BGB) dies erfordern. Einzelheiten in Ziffer 17.

Erstattungen und Widerruf: Erstattungen erfolgen über Stripe auf das ursprünglich verwendete Zahlungsmittel; dazu erteilen wir Stripe einen Erstattungsauftrag zu der betreffenden Zahlung, weitere Daten sind hierfür nicht erforderlich. Widerrufserklärungen, die Sie über unsere Online-Widerrufsfunktion unter vleracosmetics.de/widerruf abgeben, speichern wir mit Datum und Uhrzeit des Eingangs und bestätigen deren Eingang per E-Mail (§ 356a Abs. 4 BGB).

---

6. Werbe-Landingpages (Perspective) und Werbung bei Meta

6.1 Landingpages und Lead-Formulare

Unsere Werbe-Landingpages („Funnels") betreiben wir mit der Software der Perspective Software GmbH, Hamburg, Deutschland. Perspective verarbeitet die dort anfallenden Daten in unserem Auftrag (Art. 28 DSGVO) auf Servern in der Europäischen Union.

Verarbeitete Daten: Vor- und Nachname, E-Mail-Adresse, Telefonnummer, Ihre Auswahl aus den vorgegebenen Antwortmöglichkeiten, Kampagnen-Kennungen (sog. UTM-Parameter, aus denen hervorgeht, über welche Anzeige Sie zu uns gelangt sind), Zeitpunkt der Absendung, IP-Adresse und Zeitstempel als Einwilligungsnachweis sowie Ihre Angabe, ob Sie der WhatsApp-Kontaktaufnahme zugestimmt haben.

Die Formulare enthalten kein Freitextfeld. Angaben zu Ihrer Gesundheit erheben wir dort nicht.

Zwecke: Bearbeitung Ihrer Anfrage, Kontaktaufnahme, Erfolgsmessung unserer Werbung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf Ihre Anfrage); hinsichtlich der WhatsApp-Kontaktaufnahme Art. 6 Abs. 1 lit. a DSGVO (Ziffer 5.2).

Speicherdauer: 12 Monate, sofern kein Termin zustande kommt — danach vollständige Anonymisierung (nur statistische Zählwerte ohne Personenbezug bleiben).

---

6.2 Erfolgsmessung unserer Anzeigen (Meta Conversions API)

Auf unseren Werbe-Landingpages setzen wir Technologien zur Erfolgsmessung („Conversion-Messung") der Meta Platforms Ireland Ltd. ein. Dabei wird an Meta übermittelt, dass eine bestimmte Handlung stattgefunden hat (z. B. Aufruf der Seite oder Absenden eines Formulars). Je nach Konfiguration werden dabei auch verschlüsselte (gehashte) Kontaktdaten wie E-Mail-Adresse oder Telefonnummer übermittelt, damit Meta die Handlung einem Nutzerkonto zuordnen kann.

Zweck: Messung und Optimierung der Wirksamkeit unserer Anzeigen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO — Ihre Einwilligung, die wir über das Einwilligungsbanner auf der Landingpage einholen. Soweit dabei auf Informationen in Ihrem Endgerät zugegriffen oder darin gespeichert wird, beruht dies auf § 25 Abs. 1 TDDDG. Ohne Ihre Einwilligung findet keine Übermittlung an Meta statt.

Gemeinsame Verantwortlichkeit: Für die Erhebung und Übermittlung dieser Daten an Meta sind wir und Meta gemeinsam Verantwortliche im Sinne des Art. 26 DSGVO. Wir haben hierzu eine Vereinbarung mit Meta geschlossen (den sog. „Zusatz für Verantwortliche"). Darin ist geregelt, dass Meta die Verantwortung für die Rechte der betroffenen Personen nach Art. 12–22 DSGVO hinsichtlich der bei Meta gespeicherten Daten übernimmt. Die wesentlichen Inhalte finden Sie unter: https://www.facebook.com/legal/controller_addendum
Für die anschließende Weiterverarbeitung der Daten durch Meta zu eigenen Zwecken ist Meta allein verantwortlich; Informationen dazu: https://www.facebook.com/privacy/policy

Widerruf: Sie können Ihre Einwilligung jederzeit über die Datenschutz-Einstellungen auf der jeweiligen Landingpage mit Wirkung für die Zukunft widerrufen.

Termin-Ereignisse aus unserem Buchungssystem: Haben Sie auf der Landingpage eingewilligt und buchen Sie anschließend einen Termin (gleich auf welchem Weg, z. B. über die Website, im WhatsApp-Chat oder im Studio), übermitteln wir über eine Serververbindung („Conversions API") zusätzlich, dass ein Termin gebucht, storniert oder wahrgenommen wurde. Dabei übermitteln wir Ihre E-Mail-Adresse, Telefonnummer, Ihren Namen und eine interne Kundenkennung ausschließlich in verschlüsselter (gehashter) Form, außerdem die Kampagnen-Kennung, die Bezeichnung der gebuchten Leistung, ob es sich um eine Beratung oder Behandlung handelt, sowie den Wert des Termins. Haben Sie auf der Landingpage nicht eingewilligt, findet diese Übermittlung nicht statt. Rechtsgrundlage und gemeinsame Verantwortlichkeit wie oben.

Keine weiteren Werbedienste auf den Landingpages: Auf unseren Landingpages ist ausschließlich die vorstehend beschriebene Meta-Integration aktiv. Dienste von Google setzen wir dort nicht ein. Zum Einsatz von Google Ads und Meta-Pixel auf unserer Website siehe Ziffern 4.9 und 4.10.

---

6.3 Anzeigenschaltung bei Meta

Wir bewerben unsere Leistungen über Anzeigen bei Facebook und Instagram (Meta Platforms Ireland Ltd.). Zur Auswertung des Anzeigenerfolgs rufen wir über die Meta-Marketing-Schnittstelle ausschließlich aggregierte Kennzahlen ab (z. B. Reichweite, Klicks, Kosten je Anfrage). Diese Kennzahlen enthalten keine personenbezogenen Daten unserer Interessentinnen und Kundinnen.

Die Ausspielung der Anzeigen selbst erfolgt durch Meta in eigener Verantwortung auf Grundlage der Einstellungen, die Sie in Ihrem Meta-Konto vorgenommen haben. Wir übermitteln zu diesem Zweck keine Kundenlisten an Meta.

---

7. Terminbuchung über Calendly

Für Terminbuchungen aus unseren Anzeigen nutzen wir teilweise den Dienst Calendly LLC, 271 17th St NW, Atlanta, GA 30363, USA. Calendly verarbeitet die Buchungsdaten in unserem Auftrag (Art. 28 DSGVO).

Verarbeitete Daten: Name, E-Mail-Adresse, ggf. Telefonnummer, gewünschte Behandlung, Termin sowie technische Verbindungsdaten. Ein Freitextfeld ist nicht aktiviert; Angaben zu Ihrer Gesundheit erheben wir über Calendly nicht.

Zweck: Vereinbarung und Verwaltung von Terminen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Weiterleitung in unser System: Nach erfolgter Buchung überträgt Calendly die Buchungsdaten automatisiert (per sog. Webhook) in unsere eigene Datenbank, damit wir den Termin in unserer Terminverwaltung führen können.

Drittlandbezug: Siehe Ziffer 16.

Speicherdauer: Bei Calendly bis zum Widerruf bzw. bis zur Löschung durch uns; in unserem System nach den Fristen der Ziffer 8.

---

8. Kundenkartei, Behandlungsdokumentation und Angaben zu Ihrer Haut

8.1 Kundenkartei

Zur Durchführung Ihrer Behandlung führen wir eine Kundenkartei.

Verarbeitete Daten: Name, Kontaktdaten, gebuchte und durchgeführte Behandlungen, Termine, Rechnungsbeträge, bei vorausbezahlten Buchungen der Zahlungsstatus und die in Ziffer 5.7 genannten Zahlungsdaten sowie freie Notizen zum Behandlungsverlauf. Diese Notizen können Angaben zu Ihrem Hautzustand, zur Verträglichkeit einer Behandlung oder zu Hautreaktionen enthalten.

Zwecke: Vorbereitung und Durchführung der Behandlung, Behandlungsdokumentation, Terminverwaltung, Abrechnung, Erfüllung gesetzlicher Aufbewahrungspflichten.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Behandlungsvertrages), Art. 6 Abs. 1 lit. c DSGVO (steuer- und ggf. handelsrechtliche Aufbewahrungspflichten) sowie — für die Angaben zu Ihrer Haut — Art. 9 Abs. 2 lit. a DSGVO.

Speicherdauer: Bis zum Widerruf Ihrer Einwilligung, im Übrigen bis zum Ablauf der gesetzlichen Aufbewahrungsfristen (insbesondere § 147 AO; regelmäßig 8 bzw. 10 Jahre für abrechnungsrelevante Unterlagen) sowie bis zum Ablauf möglicher Verjährungsfristen (§ 195 BGB, regelmäßig 3 Jahre). Widerrufen Sie Ihre Einwilligung, löschen wir Ihre Behandlungsangaben, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht; in diesem Fall schränken wir die Verarbeitung ein (Art. 18 DSGVO).

---

8.2 Angaben zu Ihrer Haut — besondere Kategorien personenbezogener Daten

Angaben zu Ihrem Hautzustand können Rückschlüsse auf Ihren Gesundheitszustand zulassen. Sie gelten dann als Gesundheitsdaten und damit als besondere Kategorie personenbezogener Daten im Sinne des Art. 9 Abs. 1 DSGVO, die einem erhöhten Schutz unterliegen. Das gilt unabhängig davon, dass wir kosmetisch und nicht medizinisch tätig sind — maßgeblich ist der Inhalt der Angabe, nicht wer sie verarbeitet.

Wir verarbeiten solche Angaben ausschließlich auf Grundlage Ihrer ausdrücklichen Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO. Diese Einwilligung holen wir jeweils gesondert ein — durch eine eigene, nicht vorausgewählte Checkbox oder eine gesonderte Unterschrift, getrennt von allen anderen Zustimmungen:

Freiwilligkeit: Die Erteilung dieser Einwilligungen ist freiwillig. Sie können einen Termin auch ohne Angaben zu Ihrer Haut buchen und die Empfehlung unseres Quiz ohne Einwilligung ansehen; Ihre Antworten bleiben dann in Ihrem Browser. Bitte beachten Sie jedoch, dass wir bestimmte Behandlungen ohne die für Ihre Sicherheit erforderliche Anamnese nicht durchführen können — nicht, weil wir die Angaben verlangen, sondern weil wir ohne sie mögliche Gegenanzeigen nicht erkennen können.

Widerruf: Sie können jede dieser Einwilligungen jederzeit einzeln mit Wirkung für die Zukunft widerrufen — formlos per E-Mail an info@vleracosmetics.de. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt. Gesetzliche Aufbewahrungspflichten bleiben von einem Widerruf unberührt; in diesem Fall schränken wir die Verarbeitung ein (Art. 18 DSGVO), statt zu löschen.

Keine Weitergabe: Ihre gesundheitsbezogenen Angaben geben wir nicht an Dritte weiter. Sie werden ausschließlich in unserer Datenbank (Supabase, EU-Region) sowie — bei Anamnesebögen in Papierform — in einem abschließbaren Schrank in unseren Geschäftsräumen aufbewahrt und sind nur den beiden Gesellschafterinnen zugänglich. An unsere KI-Assistentin und an OpenAI werden sie nicht übermittelt, ebenso wenig in den Studio-Kalender oder an einen Werbedienstleister.

Wenn Sie uns unaufgefordert Gesundheitsangaben mitteilen — etwa im WhatsApp-Chat oder in einer E-Mail —, verarbeiten wir diese nur, soweit es zur Beantwortung Ihres Anliegens erforderlich ist, und löschen sie anschließend, spätestens mit dem jeweiligen Verlauf. Wir bitten Sie, solche Angaben nach Möglichkeit im persönlichen Gespräch zu machen.

---

9. E-Mail-Versand und Studio-Postfächer

9.1 Versand von Transaktions-E-Mails (Resend)

Für den Versand von Buchungsbestätigungen, Vertragsbestätigungen mit Widerrufsbelehrung bei vorausbezahlten Buchungen, Eingangsbestätigungen für Widerrufserklärungen, Terminerinnerungen, Quiz-Ergebnissen und internen Benachrichtigungen nutzen wir den Dienst Resend (EU-Infrastruktur in Irland). Resend verarbeitet die Versanddaten in unserem Auftrag (Art. 28 DSGVO) auf Servern in der Europäischen Union.

Verarbeitete Daten: E-Mail-Adresse, Name, Inhalt der Nachricht, Versandzeitpunkt und Zustellstatus.

Kein Tracking: Die Messung von Öffnungs- und Klickraten ist bei uns deaktiviert. Wir erfahren nicht, ob und wann Sie eine E-Mail geöffnet oder einen Link angeklickt haben.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung), Art. 6 Abs. 1 lit. c DSGVO (gesetzlich vorgeschriebene Vertrags- und Eingangsbestätigungen, § 312f und § 356a BGB) bzw. Art. 6 Abs. 1 lit. a DSGVO (beim Quiz-Ergebnis).

---

9.2 E-Mail-Postfächer (Google Workspace)

Unsere geschäftlichen E-Mail-Postfächer betreiben wir mit Google Workspace der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Google verarbeitet die E-Mail-Inhalte in unserem Auftrag (Art. 28 DSGVO). Wenn Sie uns eine E-Mail schreiben, werden Inhalt und Metadaten Ihrer Nachricht dort gespeichert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer zuverlässigen und sicheren geschäftlichen Kommunikationsinfrastruktur) bzw. Art. 6 Abs. 1 lit. b DSGVO bei vertragsbezogener Korrespondenz.

Drittlandbezug: Siehe Ziffer 16.

---

10. Terminverwaltung im Studio-Kalender (Google Calendar)

Damit unsere Terminplanung im Studio zuverlässig funktioniert, übertragen wir gebuchte Termine automatisiert in unseren internen Kalender bei Google Calendar (Google Ireland Limited). Der Kalendereintrag enthält Ihren Namen, die gebuchte Behandlung und Ihre Kontaktdaten.

Zweck: Interne Terminorganisation und Vermeidung von Doppelbuchungen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Vertrages) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer funktionierenden Betriebsorganisation).

Google wird insoweit als Auftragsverarbeiter für uns tätig (Art. 28 DSGVO). Der Kalender ist nicht öffentlich und ausschließlich den Gesellschafterinnen zugänglich.

Drittlandbezug: Siehe Ziffer 16.

---

11. Unsere Social-Media-Präsenzen und das Google Unternehmensprofil

Wir betreiben Profile bei Instagram, Facebook und TikTok sowie ein Google Unternehmensprofil, um über unsere Leistungen zu informieren und mit Interessentinnen in Kontakt zu treten.

Auf unserer Website sind keine Social-Media-Plugins eingebunden. Wir verlinken lediglich auf unsere Profile; eine Datenübertragung an die Plattformen findet erst statt, wenn Sie einen solchen Link aktiv anklicken.

Wenn Sie unsere Profile besuchen, mit ihnen interagieren oder uns dort schreiben, verarbeiten die Plattformbetreiber Daten über Sie — in erheblichem Umfang und weitgehend außerhalb unseres Einflusses. Wir haben keinen Zugriff auf die dabei erhobenen Rohdaten und können deren Verarbeitung nicht steuern.

11.1 Facebook und Instagram (Meta)

Anbieter: Meta Platforms Ireland Ltd., Merrion Road, Dublin 4, D04 X2K5, Irland.

Statistiken zu unseren Seiten („Seiten-Insights"): Meta stellt uns aggregierte Statistiken über die Nutzung unserer Profile zur Verfügung — etwa Reichweite, Interaktionen und allgemeine Angaben zur Altersstruktur und Herkunftsregion unserer Besucherinnen. Diese Statistiken erstellt Meta auf Grundlage von Daten, die beim Besuch unserer Profile erhoben werden.

Gemeinsame Verantwortlichkeit: Für die Verarbeitung, die dieser Statistikerstellung zugrunde liegt, sind wir und Meta gemeinsam Verantwortliche nach Art. 26 DSGVO. Der Europäische Gerichtshof hat dies für Betreiber von Facebook-Seiten entschieden (Rechtssache C-210/16, Urteil vom 5. Juni 2018). Meta hat hierfür die Seiten-Insights-Ergänzung bereitgestellt, in der die jeweiligen Pflichten geregelt sind und in der Meta die vorrangige Verantwortung für diese Verarbeitung sowie die Erfüllung der Betroffenenrechte nach Art. 12 bis 22 DSGVO übernimmt:
https://www.facebook.com/legal/terms/page_controller_addendum

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht in der Außendarstellung unseres Studios und der bedarfsgerechten Gestaltung unserer Inhalte. Soweit Meta für die Statistikerstellung auf Informationen in Ihrem Endgerät zugreift, stützt Meta dies auf die von Ihnen gegenüber Meta erteilte Einwilligung.

Erhaltene Daten: Wir erhalten von Meta ausschließlich aggregierte Auswertungen. Einzelne Personen sind darin nicht identifizierbar. Erkennbar werden uns Ihre Daten nur, wenn Sie selbst mit uns interagieren — etwa durch einen Kommentar, eine Reaktion oder eine Direktnachricht.

Direktnachrichten: Schreiben Sie uns über Instagram oder den Facebook Messenger, verarbeiten wir Ihre Nachricht zur Beantwortung Ihres Anliegens (Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO). Für vertrauliche Anliegen und für Angaben zu Ihrer Haut bitten wir Sie, uns stattdessen per E-Mail oder telefonisch zu kontaktieren.

Weitere Informationen von Meta: https://www.facebook.com/privacy/policy und https://privacycenter.instagram.com/policy

---

11.2 TikTok

Anbieter für den Europäischen Wirtschaftsraum: TikTok Technology Limited, 10 Earlsfort Terrace, Dublin 2, D02 T380, Irland.

Auch TikTok stellt uns aggregierte Statistiken über die Nutzung unseres Profils bereit. Wir erhalten dabei keine personenbezogenen Einzeldaten. Daten über Sie werden für uns nur erkennbar, wenn Sie selbst mit unseren Inhalten interagieren.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Außendarstellung und Reichweitenanalyse).

Hinweis zur Verantwortlichkeit: Ob und in welchem Umfang bei TikTok-Unternehmensprofilen eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO besteht, ist rechtlich noch nicht abschließend geklärt. Wir gehen davon aus, dass die für Meta entwickelten Grundsätze übertragbar sein können, und beobachten die Entwicklung.

Hinweis zu Drittländern: TikTok verarbeitet Daten europäischer Nutzerinnen und Nutzer nach eigenen Angaben in europäischen Rechenzentren, hat jedoch Konzerngesellschaften außerhalb der EU, unter anderem in der Volksrepublik China. Zugriffe aus Drittländern lassen sich daher nicht sicher ausschließen. Die irische Datenschutzaufsicht hat die Datenübermittlungspraxis von TikTok beanstandet; das Verfahren ist Gegenstand fortdauernder aufsichtsbehördlicher und gerichtlicher Auseinandersetzung. Wenn Sie diese Unsicherheit vermeiden möchten, nutzen Sie unsere Angebote bitte über unsere Website, per E-Mail oder telefonisch.

Weitere Informationen von TikTok: https://www.tiktok.com/legal/privacy-policy-eea

---

11.3 Google Unternehmensprofil und Bewertungen

Wir unterhalten ein Google Unternehmensprofil (vormals „Google My Business") bei der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Dort finden Sie unsere Kontaktdaten, Öffnungszeiten, Fotos und Bewertungen.

Statistiken: Google stellt uns aggregierte Auswertungen darüber bereit, wie oft unser Profil aufgerufen wurde, über welche Suchbegriffe Nutzerinnen zu uns gelangt sind und wie häufig Anruf-, Routen- oder Website-Schaltflächen betätigt wurden. Diese Auswertungen enthalten keine personenbezogenen Einzeldaten.

Bewertungen: Wenn Sie eine Bewertung abgeben, veröffentlicht Google den von Ihnen gewählten Anzeigenamen, Ihr Profilbild, den Bewertungstext und die Sternebewertung. Diese Veröffentlichung erfolgt durch Sie selbst gegenüber Google; für die Inhalte Ihrer Bewertung sind Sie verantwortlich. Wir verarbeiten Bewertungen, um darauf zu antworten und um unsere Leistungen zu verbessern.

Bitte beachten Sie: Wir empfehlen Ihnen, in öffentlichen Bewertungen keine Angaben zu Ihrer Gesundheit oder zu konkreten Behandlungen zu machen. Solche Angaben wären für jedermann dauerhaft einsehbar. Aus demselben Grund gehen wir in unseren öffentlichen Antworten niemals auf Behandlungsdetails ein und bestätigen auch nicht, ob eine bewertende Person bei uns Kundin war oder ist.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht in der Außendarstellung, der Auffindbarkeit unseres Studios und dem Dialog mit unseren Kundinnen.

Verantwortlichkeit: Für die Verarbeitung im Rahmen des Unternehmensprofils und der Bewertungsfunktion ist Google im Wesentlichen eigenständig verantwortlich. Ob für die Profilstatistiken eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO besteht, ist — wie bei anderen Plattformen — nicht abschließend geklärt.

Drittlandbezug: Siehe Ziffer 16.

Weitere Informationen von Google: https://policies.google.com/privacy

---

12. Anamnese- und Einwilligungsbögen im Studio

Vor Ihrer ersten Behandlung erheben wir Angaben zu Ihrem Hautzustand sowie zu Vorerkrankungen, Allergien, Unverträglichkeiten und eingenommenen Medikamenten. Diese Angaben sind für die Auswahl und die sichere Durchführung Ihrer Behandlung erforderlich und stellen Gesundheitsdaten im Sinne des Art. 9 Abs. 1 DSGVO dar.

Form der Erhebung: Die Bögen führen wir zunächst in Papierform. Eine Umstellung auf eine digitale Erfassung ist geplant; wir werden diese Datenschutzerklärung dann entsprechend anpassen.

Rechtsgrundlage: Art. 9 Abs. 2 lit. a DSGVO — Ihre ausdrückliche, gesondert und schriftlich erteilte Einwilligung. Die Einwilligung ist freiwillig und jederzeit mit Wirkung für die Zukunft widerrufbar.

Aufbewahrung: Die Papierunterlagen bewahren wir in einem abschließbaren Schrank in unseren Geschäftsräumen auf. Zugang haben ausschließlich die beiden Gesellschafterinnen. Nach Ablauf der Aufbewahrungsfristen (siehe Ziffer 8.1) werden die Unterlagen datenschutzgerecht vernichtet. Werden Bögen digitalisiert, vernichten wir das Papieroriginal anschließend datenschutzgerecht.

Keine Weitergabe: Diese Unterlagen werden nicht an Dritte weitergegeben und nicht in unsere digitalen Systeme übertragen, solange die Erhebung in Papierform erfolgt.

Keine Videoüberwachung: In unseren Geschäftsräumen findet keine Videoüberwachung statt.

---

13. Foto- und Bildaufnahmen

Wir fertigen im Rahmen der Behandlung Fotoaufnahmen an — zum einen zur Dokumentation des Behandlungsverlaufs, zum anderen, um Behandlungsergebnisse öffentlich zu zeigen. Dies geschieht ausschließlich mit Ihrer vorherigen Einwilligung.

Warum wir hier besonders sorgfältig vorgehen: Eine Aufnahme Ihrer Haut lässt Rückschlüsse auf Ihren Gesundheitszustand zu und ist damit ein Gesundheitsdatum nach Art. 9 Abs. 1 DSGVO. Zeigt die Aufnahme zusätzlich Ihr Gesicht oder andere erkennbare Merkmale, kommt Ihr Recht am eigenen Bild hinzu. Aus diesem Grund holen wir zwei voneinander getrennte Einwilligungen ein, über die Sie jeweils gesondert entscheiden.

---

13.1 Erste Einwilligung: Aufnahme und Behandlungsdokumentation

Was wir tun: Wir fotografieren die zu behandelnde Hautpartie vor und nach der Behandlung und speichern diese Aufnahmen in Ihrer Kundenkartei.

Zwecke: Dokumentation des Ausgangszustands und des Behandlungsverlaufs, Vergleich über mehrere Sitzungen hinweg, Planung von Folgebehandlungen sowie Nachweis im Falle von Rückfragen zum Behandlungsergebnis.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a in Verbindung mit Art. 9 Abs. 2 lit. a DSGVO — Ihre ausdrückliche Einwilligung.

Speicherort und Zugriff: Die Aufnahmen werden ausschließlich in unserer Datenbank (Supabase, EU-Region) gespeichert. Zugriff haben nur die beiden Gesellschafterinnen. Eine Übertragung in den Studio-Kalender, an unsere KI-Assistentin, an OpenAI oder an einen Werbedienstleister findet nicht statt.

Speicherdauer: Wie die übrige Kundenkartei (Ziffer 8.1) — bis zum Widerruf Ihrer Einwilligung, im Übrigen bis zum Ablauf gesetzlicher Aufbewahrungs- und Verjährungsfristen.

Diese Einwilligung ist freiwillig. Sie können jede Behandlung auch ohne Fotodokumentation in Anspruch nehmen.

---

13.2 Zweite Einwilligung: Veröffentlichung

Was wir tun: Wir veröffentlichen ausgewählte Aufnahmen — auch als Vorher-Nachher-Gegenüberstellung — auf den folgenden Kanälen:

• unserer Website vleracosmetics.de
• unserem Instagram-Profil
• unserem Facebook-Profil
• unserem TikTok-Profil
• unserem Google Unternehmensprofil
• in bezahlten Werbeanzeigen bei Meta (Facebook und Instagram) sowie auf unseren Werbe-Landingpages

Sie können jeden dieser Kanäle einzeln freigeben oder ausschließen. Sie entscheiden außerdem, ob Ihr Gesicht erkennbar sein darf oder ob wir ausschließlich Detailaufnahmen der behandelten Partie zeigen.

Zweck: Darstellung unserer Leistungen und Behandlungsergebnisse gegenüber Interessentinnen sowie Bewerbung unseres Studios.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a in Verbindung mit Art. 9 Abs. 2 lit. a DSGVO — Ihre ausdrückliche und gesonderte Einwilligung. Diese deckt zugleich die Verbreitung und öffentliche Zurschaustellung Ihres Bildnisses ab (vgl. § 22 KUG).

Keine Vergütung: Für die Veröffentlichung erhalten Sie keine Vergütung, sofern nichts anderes ausdrücklich vereinbart ist.

Wichtiger Hinweis zur Reichweite einer Veröffentlichung: Sobald ein Bild im Internet veröffentlicht ist, kann es von Dritten kopiert, gespeichert, geteilt oder in Suchmaschinen aufgenommen werden. Wir haben darauf keinen Einfluss. Auch nach einem Widerruf und der Löschung auf unseren eigenen Kanälen können solche Kopien fortbestehen. Bitte beziehen Sie diesen Umstand in Ihre Entscheidung ein.

Drittlandbezug: Bei einer Veröffentlichung auf den genannten Plattformen können Daten in Drittländer übermittelt werden. Siehe Ziffer 16 und — speziell zu TikTok — Ziffer 11.2.

Diese Einwilligung ist freiwillig und hat keinerlei Einfluss auf Ihre Behandlung. Wir fragen sie ausschließlich einmal an; eine Ablehnung hat für Sie keine Nachteile und wird nicht wiederholt angesprochen.

---

13.3 Widerruf

Sie können jede der beiden Einwilligungen jederzeit einzeln und ohne Angabe von Gründen mit Wirkung für die Zukunft widerrufen — formlos per E-Mail an info@vleracosmetics.de oder mündlich im Studio.

Was wir bei einem Widerruf der Veröffentlichungs-Einwilligung tun:

1. Wir entfernen die betreffenden Aufnahmen unverzüglich von unserer Website, aus unseren Social-Media-Profilen und aus unserem Google Unternehmensprofil.
2. Wir stoppen laufende Werbeanzeigen, in denen die Aufnahmen verwendet werden, und entfernen sie aus unseren Landingpages.
3. Wir verwenden die Aufnahmen nicht erneut.

Was wir nicht leisten können: Wir haben keinen Einfluss auf Kopien, die Dritte vor dem Widerruf angefertigt oder geteilt haben, sowie auf Inhalte im Zwischenspeicher von Suchmaschinen. Wir unterstützen Sie auf Wunsch dabei, entsprechende Löschungen bei Suchmaschinenbetreibern zu beantragen.

Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

---

14. Zahlungsabwicklung

14.1 Kartenzahlung im Studio (SumUp)

Für bargeldlose Zahlungen in unseren Geschäftsräumen nutzen wir ein Kartenlesegerät des Anbieters SumUp. Vertragspartner für Händler in der Europäischen Union ist die

SumUp EU Payments UAB
Ukmergės g. 126
LT-08100 Vilnius
Litauen

Es handelt sich um ein E-Geld-Institut, das der Aufsicht der Bank of Lithuania (Lietuvos bankas) untersteht.

Verarbeitete Daten: Zahlungsbetrag, Datum und Uhrzeit der Transaktion, Transaktionsnummer sowie die für die Kartenzahlung erforderlichen Zahlungsdaten. Ihre vollständigen Kartendaten sehen wir zu keinem Zeitpunkt — sie werden unmittelbar von SumUp und den beteiligten Zahlungsdienstleistern verarbeitet. Wir erhalten lediglich die Bestätigung über den Zahlungserfolg sowie einen Beleg mit dem Betrag und den letzten Ziffern der Karte.

Zwecke: Abwicklung Ihrer Zahlung, Buchhaltung, Erfüllung steuerrechtlicher Aufzeichnungspflichten.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Vertrages) sowie Art. 6 Abs. 1 lit. c DSGVO (steuerrechtliche Aufzeichnungs- und Aufbewahrungspflichten, insbesondere § 147 AO).

Rolle von SumUp: SumUp ist als Zahlungsdienstleister aufgrund eigener aufsichts- und geldwäscherechtlicher Pflichten eigenständig verantwortlich und handelt insoweit nicht in unserem Auftrag. Informationen zur Datenverarbeitung durch SumUp finden Sie in dessen Datenschutzhinweisen.

Verarbeitung innerhalb der EU: Die Zahlungsabwicklung erfolgt über eine Gesellschaft mit Sitz in der Europäischen Union. Eine Übermittlung in Drittländer im Rahmen der Zahlungsabwicklung findet durch uns nicht statt.

Speicherdauer: Zahlungsbelege und Buchungsdaten bewahren wir entsprechend den gesetzlichen Aufbewahrungsfristen auf (§ 147 AO).

Barzahlung: Sie können bei uns selbstverständlich auch bar bezahlen. In diesem Fall entstehen über den Buchungsbeleg hinaus keine zahlungsbezogenen personenbezogenen Daten.

---

14.2 Online-Vorauszahlung (Stripe)

Für Vorauszahlungen, die Sie bei einer Buchung im WhatsApp-Chat leisten (Ziffer 5.7), nutzen wir den Zahlungsdienst Stripe. Unser Vertragspartner ist die

Stripe Payments Europe, Limited
1 Grand Canal Street Lower, Grand Canal Dock
Dublin 2, D02 H210
Irland

Es handelt sich um ein von der irischen Zentralbank (Central Bank of Ireland) beaufsichtigtes E-Geld-Institut. An der Verarbeitung sind konzernintern weitere Stripe-Gesellschaften beteiligt, insbesondere die Stripe Technology Europe, Limited (Irland) und die Stripe, Inc. (USA).

Ablauf: Über den Zahlungslink gelangen Sie auf eine von Stripe betriebene Bezahlseite. Dort können Sie mit Kredit- oder Debitkarte, Apple Pay, Google Pay oder PayPal bezahlen. Lastschrift, Überweisung und Ratenkauf bieten wir nicht an. Wählen Sie Apple Pay, Google Pay oder PayPal, verarbeitet zusätzlich der jeweilige Anbieter (Apple Distribution International Ltd., Irland; Google Ireland Ltd., Irland; PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg) Ihre Zahlungsdaten in eigener Verantwortung nach seinen Bedingungen.

Von Stripe verarbeitete Daten: Zahlungsbetrag und Währung, gewähltes Zahlungsmittel und die dazugehörigen Zahlungsdaten (etwa Kartennummer, Ablaufdatum und Prüfziffer — diese sehen wir nicht), Ihre E-Mail-Adresse, Ihr Name und Ihre Telefonnummer, unsere Buchungsnummer, der Zeitpunkt der Zahlung sowie technische Daten Ihres Endgeräts (IP-Adresse, Browser- und Geräteinformationen), die Stripe auf der Bezahlseite zur Betrugsprävention und zur starken Kundenauthentifizierung (3-D Secure) erhebt. Stripe setzt auf seiner Bezahlseite hierfür eigene, für die Zahlungsabwicklung erforderliche Cookies ein; dafür ist Stripe verantwortlich.

Zwecke: Abwicklung der Zahlung, Zuordnung zu Ihrer Buchung, Versand des Zahlungsbelegs, Abwicklung von Erstattungen, Betrugs- und Missbrauchsprävention, Erfüllung gesetzlicher Pflichten, Buchhaltung.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Zahlung als Teil der Vertragserfüllung) sowie Art. 6 Abs. 1 lit. c DSGVO (steuerrechtliche Aufzeichnungs- und Aufbewahrungspflichten, § 147 AO).

Rolle von Stripe: Stripe hat eine Doppelrolle. Soweit Stripe die Zahlung in unserem Auftrag ausführt und unserer Buchung zuordnet, handelt Stripe als Auftragsverarbeiter (Art. 28 DSGVO); der Auftragsverarbeitungsvertrag ist Bestandteil unseres Vertrages mit Stripe. Soweit Stripe Daten für eigene Zwecke verarbeitet — insbesondere zur Betrugsprävention, zur Erfüllung eigener gesetzlicher Pflichten als Zahlungsinstitut (etwa nach dem Geldwäscherecht) und zur Verbesserung seiner Dienste —, ist Stripe eigenständig Verantwortlicher. Auf diese Verarbeitung haben wir keinen Einfluss. Näheres regeln die Datenschutzhinweise von Stripe: https://stripe.com/de/privacy

Zahlungsbeleg: Nach erfolgreicher Zahlung versendet Stripe in unserem Auftrag einen Zahlungsbeleg an die von Ihnen angegebene E-Mail-Adresse. Eine gesonderte Rechnung stellen wir bei diesen Angeboten nicht aus, sofern Sie sie nicht ausdrücklich wünschen.

Keine Speicherung Ihres Zahlungsmittels: Wir hinterlegen Ihr Zahlungsmittel nicht für künftige Zahlungen. Jede Vorauszahlung lösen Sie einzeln aus.

Drittlandbezug: Unser Vertragspartner hat seinen Sitz in Irland. Stripe gehört jedoch zu einem US-amerikanischen Konzern und kann Daten an die Stripe, Inc. in den USA übermitteln. Stripe ist unter dem EU-US Data Privacy Framework zertifiziert; ergänzend gelten die Standardvertragsklauseln der Europäischen Kommission. Siehe Ziffer 16.

Speicherdauer: Bei uns: siehe Ziffern 5.7 und 17. Stripe speichert Transaktionsdaten nach eigenen Angaben so lange, wie dies für die Diensterbringung und zur Erfüllung eigener gesetzlicher Aufbewahrungspflichten erforderlich ist; hierauf haben wir keinen Einfluss.

---

15. Empfänger Ihrer Daten — Übersicht

Wir geben Ihre Daten nur weiter, soweit dies für die beschriebenen Zwecke erforderlich ist. Alle nachfolgend genannten Dienstleister sind als Auftragsverarbeiter vertraglich nach Art. 28 DSGVO an unsere Weisungen gebunden; Ausnahmen sind gesondert gekennzeichnet.

Darüber hinaus geben wir Daten weiter, wenn wir gesetzlich dazu verpflichtet sind oder wenn dies zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.

Ein Verkauf Ihrer Daten findet nicht statt.

---

16. Übermittlung in Drittländer

Einige der von uns eingesetzten Dienstleister verarbeiten Daten in den Vereinigten Staaten von Amerika oder können dort auf Daten zugreifen. Dies betrifft insbesondere Vercel (Hosting), OpenAI (KI-Assistentin), Calendly (Terminbuchung), Stripe (Online-Vorauszahlung; Vertragspartner in Irland, Konzernmutter Stripe, Inc. in den USA) sowie mittelbar Google und Meta. Zu TikTok siehe gesondert Ziffer 11.2.

Grundlage der Übermittlung:

• Soweit die Anbieter nach dem EU-US Data Privacy Framework zertifiziert sind, erfolgt die Übermittlung auf Grundlage des Angemessenheitsbeschlusses der Europäischen Kommission vom 10. Juli 2023 (Art. 45 DSGVO). Den Zertifizierungsstatus können Sie unter https://www.dataprivacyframework.gov einsehen.
• Ergänzend bzw. soweit keine Zertifizierung vorliegt, haben wir mit den Anbietern die Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/914) vereinbart (Art. 46 Abs. 2 lit. c DSGVO).

Hinweis auf verbleibende Risiken: Trotz dieser Garantien lässt sich nicht vollständig ausschließen, dass US-Behörden auf Grundlage US-amerikanischer Überwachungsgesetze auf Daten zugreifen, ohne dass Ihnen dagegen dieselben Rechtsschutzmöglichkeiten zur Verfügung stehen wie innerhalb der EU. Der Europäische Gerichtshof hat diese Rechtslage in seiner Entscheidung vom 16. Juli 2020 (Rechtssache C-311/18 — „Schrems II") beanstandet. Die Wirksamkeit des Angemessenheitsbeschlusses ist Gegenstand fortdauernder rechtspolitischer und gerichtlicher Auseinandersetzung.

Eine Kopie der vereinbarten Garantien erhalten Sie auf Anfrage unter info@vleracosmetics.de.

---

17. Speicherdauer — Übersicht

---

18. Ihre Rechte

Ihnen stehen gegenüber uns folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten zu:

• Auskunft (Art. 15 DSGVO): Sie können Auskunft darüber verlangen, ob und welche Daten wir über Sie verarbeiten, sowie eine Kopie dieser Daten erhalten.
• Berichtigung (Art. 16 DSGVO): Sie können die Berichtigung unrichtiger oder die Vervollständigung unvollständiger Daten verlangen.
• Löschung (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.
• Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie können verlangen, dass wir Ihre Daten nur noch eingeschränkt verarbeiten.
• Datenübertragbarkeit (Art. 20 DSGVO): Sie können verlangen, die von Ihnen bereitgestellten Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten oder an einen anderen Verantwortlichen übermitteln zu lassen.
• Widerspruch (Art. 21 DSGVO): Sie können der Verarbeitung, die wir auf ein berechtigtes Interesse stützen, aus Gründen widersprechen, die sich aus Ihrer besonderen Situation ergeben. Richtet sich die Verarbeitung auf Direktwerbung, können Sie jederzeit und ohne Begründung widersprechen; wir verarbeiten Ihre Daten dann nicht mehr zu diesem Zweck.
• Widerruf von Einwilligungen (Art. 7 Abs. 3 DSGVO): Sie können erteilte Einwilligungen jederzeit einzeln mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Die Ausübung dieser Rechte ist für Sie grundsätzlich kostenlos. Wenden Sie sich hierfür formlos an info@vleracosmetics.de. Wir antworten Ihnen innerhalb eines Monats; in komplexen Fällen kann sich diese Frist um bis zu zwei weitere Monate verlängern, worüber wir Sie dann informieren.

Keine automatisierte Entscheidungsfindung: Eine automatisierte Entscheidungsfindung einschließlich Profiling mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung im Sinne des Art. 22 DSGVO findet nicht statt. Unsere KI-Assistentin unterstützt bei Terminorganisation und Auskünften; Behandlungsentscheidungen treffen ausschließlich Menschen.

---

19. Beschwerderecht bei der Aufsichtsbehörde

Unbeschadet anderer Rechtsbehelfe haben Sie nach Art. 77 DSGVO das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer Daten gegen die DSGVO verstößt.

Für uns zuständig ist:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)
Kavalleriestraße 2–4
40213 Düsseldorf
Telefon: +49 211 38424-0
E-Mail: poststelle@ldi.nrw.de
Website: https://www.ldi.nrw.de

Sie können sich auch an die Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts oder Ihres Arbeitsplatzes wenden.

---

20. Datensicherheit

Wir treffen angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO, um Ihre Daten gegen Verlust, Zerstörung, Manipulation und unbefugten Zugriff zu schützen. Dazu gehören insbesondere:

• Verschlüsselte Übertragung aller Daten über unsere Website mittels TLS (erkennbar am Schloss-Symbol in Ihrem Browser)
• Verschlüsselte Speicherung in unserer Datenbank
• Zugriff auf Kundendaten ausschließlich für die beiden Gesellschafterinnen
• Zugangsschutz durch individuelle Konten und Mehr-Faktor-Authentifizierung
• Automatisierte Löschroutinen entsprechend den in Ziffer 17 genannten Fristen
• Abschließbare Aufbewahrung aller Unterlagen in Papierform
• Sorgfältige Auswahl unserer Dienstleister und vertragliche Bindung nach Art. 28 DSGVO

Wir passen unsere Maßnahmen fortlaufend an die technische Entwicklung an.

---

21. Keine Angebote für Kinder

Unser Angebot richtet sich an Erwachsene. Wir erheben wissentlich keine Daten von Personen unter 16 Jahren ohne Zustimmung der Erziehungsberechtigten (Art. 8 DSGVO). Sollten wir Kenntnis davon erlangen, dass uns Daten einer minderjährigen Person ohne die erforderliche Zustimmung übermittelt wurden, löschen wir diese unverzüglich.

---

22. Pflicht zur Bereitstellung

Die Bereitstellung Ihrer Daten ist weder gesetzlich noch vertraglich vorgeschrieben. Für eine Terminbuchung benötigen wir jedoch mindestens Ihren Namen und eine Kontaktmöglichkeit — ohne diese Angaben können wir keinen Termin vereinbaren. Für Angebote mit Vorauszahlung (Ziffer 5.7) benötigen wir zusätzlich eine E-Mail-Adresse, weil der Zahlungsdienstleister sie für den Zahlungsbeleg verlangt und wir Ihnen die Vertragsbestätigung mit Widerrufsbelehrung darüber zusenden; ohne E-Mail-Adresse ist eine Vorauszahlung nicht möglich, Sie können denselben Termin aber ohne Vorauszahlung buchen und im Studio bezahlen. Alle als freiwillig gekennzeichneten Angaben können Sie ohne Nachteile weglassen.

---

23. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Rechtslage, unsere Dienste oder die Art der Datenverarbeitung ändern. Es gilt jeweils die auf unserer Website veröffentlichte aktuelle Fassung.

Stand: Oktober 2026

---

---