Datenschutzhinweise

Stand: 3. August 2026 · Version R3.1

1. Verantwortliche

Verantwortlich ist Jana Titkov, Glowova Beauty, Westerfeldstraße 22–24, 33611 Bielefeld, Deutschland, Telefon +49 172 6979961, E-Mail info@glowovabeauty.de.

2. Hosting, E-Mail und technische Bereitstellung

Website, Buchungssystem, Datenbank und E-Mail-Postfach werden auf beziehungsweise über Leistungen der IONOS SE betrieben. IONOS wird, soweit es Daten für Glowova Beauty verarbeitet, als Hosting- und Mail-Auftragsverarbeiter eingesetzt. Die vertragliche Einbeziehung einer Vereinbarung zur Auftragsverarbeitung und der konkrete Produkt-/Serverstandort müssen von der Betreiberin im Kundenkonto dokumentiert bleiben. Plesk ist lediglich das auf dem Server eingesetzte Verwaltungswerkzeug und kein eigenständiger Empfänger, solange kein separater Anbieterzugriff eingerichtet ist.

Beim Aufruf können IP-Adresse, Zeitpunkt, angeforderte Ressource, Referrer soweit übermittelt, Browser-/Geräteangaben, Statuscode sowie Sicherheits- und Fehlerdaten verarbeitet werden. Zwecke sind Bereitstellung, Fehleranalyse und Missbrauchsabwehr; Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO. Die konkrete Rotation von Webserver-, Plesk- und Systemlogs sowie die reale Backup-Aufbewahrung werden durch die Serverkonfiguration und IONOS bestimmt. Da diese Laufzeiten vor dem R3.1-Cutover noch nicht praktisch bestätigt sind, wird hier keine automatische feste Löschfrist versprochen. Daten werden nach Wegfall des jeweiligen Betriebs-, Sicherheits- oder Wiederherstellungszwecks gelöscht oder anonymisiert, sofern keine Vorfallsicherung oder gesetzliche Pflicht entgegensteht.

3. Technisch notwendige Endgerätezugriffe

Für Buchung, CSRF-Schutz, Login, sichere Verwaltung und Missbrauchsschutz werden ausschließlich technisch notwendige Cookies beziehungsweise lokale Sicherheitsinformationen eingesetzt. Grundlage für den Endgerätezugriff ist § 25 Abs. 2 TDDDG; die anschließende personenbezogene Verarbeitung stützt sich je nach Vorgang auf Art. 6 Abs. 1 Buchst. b oder f DSGVO. Es gibt keine Analyse-, Werbe- oder Tracking-Cookies und deshalb im Ausgangszustand kein Einwilligungsbanner.

Sitzungen und Tokens besitzen technische Ablaufzeitpunkte und sind danach nicht mehr nutzbar. Die physische Bereinigung abgelaufener Datensätze ist im Produktionsprofil derzeit aus Sicherheitsgründen noch nicht freigeschaltet. Bis zur gesondert geprüften Aktivierung werden diese Datensätze anhand ihrer Ablaufzeit serverseitig gesperrt und nur so lange aufbewahrt, wie dies für Betrieb, Missbrauchsschutz, Fehlerprüfung und Nachweise erforderlich ist.

4. Pflichtangaben für die verbindliche Onlinebuchung

Erforderlich sind Vorname, Nachname, E-Mail-Adresse, Telefonnummer, ausgewählte Behandlung, gewählter Termin, Annahme der Terminbedingungen sowie die Kenntnisnahme der Datenschutz- und Widerrufsinformationen. Bei einem Termin vor Ablauf der Widerrufsfrist ist zusätzlich das ausdrückliche Verlangen zum vorzeitigen Leistungsbeginn erforderlich. Verarbeitet werden außerdem Behandlungsart, gegebenenfalls Sitzungszahl, Dauer, Gesamtpreis, Buchungsnummer, Status, Vertrags-/Textversionen, Integritätsnachweise, technische Hold-, Verwaltungs- und Idempotenzdaten sowie Transaktions-Mailstatus.

Ohne diese Angaben kann kein Termin online verbindlich gebucht und verwaltet werden. Eine Kontaktaufnahme mit Glowova Beauty über die veröffentlichten Kontaktdaten bleibt möglich.

Zwecke sind Vertragsanbahnung, Vertragsschluss, Terminverwaltung, Durchführung, kostenlose Stornierung/Umbuchung, Transaktions-E-Mails und die Bereitstellung sicherer Verwaltungszugänge. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO; gesetzlich erforderliche Vertrags- und Widerrufsnachweise beruhen zusätzlich auf Art. 6 Abs. 1 Buchst. c DSGVO. Sicherheits-, Sperr-, Audit- und Missbrauchsdaten werden auf Grundlage von Art. 6 Abs. 1 Buchst. f DSGVO verarbeitet.

5. Freiwillige Buchungsangaben

Freiwillig sind eine organisatorische Nachricht, die terminbezogene WhatsApp-Einwilligung, die Newsletter-Einwilligung, ein Rechnungswunsch und die Nutzung eines Kundenkontos. Eine Rechnungsanschrift wird erst erhoben, wenn sie für eine tatsächlich angeforderte Rechnung benötigt wird. Das Nachrichtenfeld ist nicht für Diagnosen, Erkrankungen, Medikamente oder andere Gesundheitsdaten vorgesehen. Glowova Beauty fordert über das Onlineformular keine Gesundheitsdaten an.

Die Nichtbereitstellung freiwilliger Angaben hat keine Auswirkung auf die Buchbarkeit. Für organisatorische Nachrichten und einen Rechnungswunsch gilt Art. 6 Abs. 1 Buchst. b DSGVO; für WhatsApp und Newsletter Art. 6 Abs. 1 Buchst. a DSGVO.

6. Widerruf, Stornierung und Umbuchung

Bei Widerruf, Stornierung oder Umbuchung werden Vertragskennung, erforderliche Identifikations-/Kontaktdaten, Erklärung, Zeitpunkte, Status, Eingangsbestätigung und Auditnachweise verarbeitet. Rechtsgrundlagen sind Art. 6 Abs. 1 Buchst. b und c DSGVO sowie Art. 6 Abs. 1 Buchst. f DSGVO für Integrität und Missbrauchsschutz. Elektronische Widerrufserklärungen werden unverzüglich per E-Mail bestätigt. Kurzlebige Lookup-Intents sind nach Ablauf nicht mehr nutzbar; ihre physische Bereinigung bleibt bis zur Freigabe des Retention-Jobs geschlossen.

7. Freiwilliges Kundenkonto, Datenexport und Kontolöschung

Gastbuchungen bleiben ohne Konto möglich. Bei freiwilliger Registrierung werden E-Mail-Verifizierung, Passwort-Hash, sichere Sitzungen, Profil, Terminzuordnung, Gastterminübernahme, Datenexporte und Löschanforderungen verarbeitet, Art. 6 Abs. 1 Buchst. b DSGVO. Nach bestätigter Kontodeaktivierung werden aktive Kontositzungen widerrufen und künftige Buchungen vom Konto getrennt. Vertrags-, Widerrufs- und Nachweisdaten bleiben erhalten, soweit Vertragserfüllung, gesetzliche Pflichten, offene Ansprüche oder Rechtsverteidigung dies erfordern.

Ein bereitgestellter Datenexport ist technisch sieben Tage abrufbar. Die automatische physische Löschung der Exportdatei erfolgt erst, wenn der separat geschützte Retention-Job freigegeben und ausgeführt wird; bis dahin ist die Datei nach dem Ablaufdatum nicht mehr über die Anwendung zugänglich und muss im Betriebsprozess kontrolliert bereinigt werden.

8. Transaktions-E-Mails

Für Buchungsbestätigung, Terminverwaltung, Erinnerung, Umbuchung, Stornierung, Widerrufseingang und Sicherheitsvorgänge werden Name, E-Mail-Adresse, Termindaten, Buchungsnummer, Nachrichtentyp, Versandstatus und Fehlerdaten verarbeitet. Zwecke sind Vertragserfüllung, gesetzliche Bestätigung, Kontosicherheit und Zustellkontrolle; Rechtsgrundlagen sind Art. 6 Abs. 1 Buchst. b, c und f DSGVO. Der Versand erfolgt über IONOS Mail. Es gibt keine Trackingpixel und keine extern geladenen Mailinhalte. Mailinhalte und Queue-Daten werden anhand ihres Vertrags-, Nachweis-, Fehleranalyse- und Sicherheitszwecks minimiert; die vorbereitete automatische 90-Tage-Minimierung ist im Produktionsprofil noch nicht aktiviert.

9. Newsletter

Die Newsletter-Anmeldung ist freiwillig, getrennt, nicht vorausgewählt und wird erst durch Double Opt-in aktiv. Verarbeitet werden E-Mail-Adresse, optional Vorname, Einwilligungstext/-version, Hash, Quelle, Zeitpunkte, Bestätigungs- und Abmeldestatus. Grundlage sind Art. 6 Abs. 1 Buchst. a DSGVO und § 7 UWG. Es gibt kein Öffnungs- oder Klicktracking. Eine Abmeldung ist jederzeit über den Abmeldelink oder per E-Mail möglich. Der Kampagnenversand bleibt technisch geschlossen, bis SPF, DKIM, DMARC und reale Zustellung geprüft sind; DOI und Abmeldung können unabhängig davon betrieben werden.

Unbestätigte Anmeldungen bleiben pending und dürfen nicht beworben werden. Ihre automatische Bereinigung nach sieben Tagen sowie die Minimierung abgemeldeter Datensätze werden erst mit dem geprüften Retention-Job aktiv. Bis dahin erfolgt die Bereinigung kontrolliert nach Erforderlichkeit; eine minimale Sperrinformation kann zum Schutz vor erneuter Zusendung und zum Einwilligungsnachweis erhalten bleiben.

10. Terminbezogener WhatsApp-Kontakt

Das Buchungssystem versendet keine automatisierten WhatsApp-Nachrichten und übermittelt keine Buchungsdaten über eine WhatsApp-API. Nur wenn die freiwillige, nicht vorausgewählte Einwilligung erteilt wurde, erhält Jana im internen Buchungshinweis die Information, dass sie die angegebene Telefonnummer manuell für terminbezogene Rückfragen oder Änderungen verwenden darf. Bei Gastbuchungen gilt dies nur für den betreffenden Termin; Werbung ist nicht umfasst. Die Einwilligung ist widerruflich, Art. 6 Abs. 1 Buchst. a DSGVO. Eine Buchung ist vollständig ohne WhatsApp möglich. Über WhatsApp sollen keine Gesundheitsdaten übermittelt werden.

Beim bloßen Seitenaufruf fließen keine Daten an WhatsApp. Erst beim Anklicken des externen `wa.me`-Links oder bei Nutzung der WhatsApp-Kommunikation wird der Dienst von WhatsApp Ireland Limited genutzt. Nach der aktuellen EWR-Datenschutzrichtlinie verarbeitet WhatsApp unter anderem Konto-, Nutzungs-, Geräte-, Verbindungs- und Kommunikationsmetadaten und arbeitet auch mit Meta-Unternehmen beziehungsweise Dienstleistern außerhalb des EWR, unter anderem in den USA, zusammen. Angaben zu Übermittlungsgrundlagen und Garantien ergeben sich aktuell aus https://www.whatsapp.com/legal/privacy-policy-eea (wirksam seit 2. Juli 2026). Glowova Beauty kann diese externe Verarbeitung nicht steuern. Telefon und E-Mail stehen als Alternativen bereit.

11. Rechnungs- und Zahlungsverwaltung

Es gibt keine Onlinezahlung und keinen Online-Zahlungsanbieter. Ein freiwilliger Rechnungswunsch wird zunächst nur vorgemerkt. Erst bei tatsächlicher Rechnungsanforderung werden die erforderlichen Rechnungsdaten verarbeitet. Zahlungen vor Ort, Rechnungen und Korrekturen beruhen auf Art. 6 Abs. 1 Buchst. b und c DSGVO. Eine Steuerberatung erhält Daten nur, soweit sie tatsächlich beauftragt ist und die Übermittlung für Buchführung oder gesetzliche Pflichten erforderlich ist. Rechnungsversand, Korrekturen und DATEV-Export bleiben bis zur gesonderten fachlichen Freigabe technisch geschlossen.

12. Empfänger

Intern erhält Jana für Glowova Beauty Zugriff im erforderlichen Umfang. Externer Empfänger beziehungsweise Auftragsverarbeiter ist IONOS für Hosting und E-Mail. Weitere technische Dienstleister erhalten Daten nur, wenn sie tatsächlich eingesetzt, vertraglich gebunden und für den jeweiligen Zweck erforderlich sind. Steuerberatung erhält Daten nur im oben beschriebenen Bedarfsfall. Behörden oder Gerichte erhalten Daten ausschließlich bei gesetzlicher Verpflichtung oder zur Rechtsverteidigung. Es wird kein Online-Zahlungsanbieter eingesetzt. Plesk ist kein eigener Empfänger.

13. Externe Links und mögliche Drittlandbezüge

Instagram, TikTok, Google Maps und WhatsApp sind ausschließlich externe Links; keine Feeds, Karten, Pixel oder Skripte dieser Anbieter werden beim Seitenaufruf geladen. Erst ein bewusster Klick öffnet den jeweiligen Dienst. Dabei gelten dessen aktuelle Anbieterinformationen und es kann zu Verarbeitungen außerhalb des EWR kommen. Die Website und die Buchung bleiben ohne diese Dienste nutzbar. Da Glowova Beauty weder Zweck noch konkrete Übermittlungsmechanismen dieser unabhängigen externen Dienste kontrolliert, werden keine pauschalen Garantien oder Angemessenheitsbehauptungen abgegeben. Vor einer späteren Einbettung oder API-Integration wäre eine neue Anbieter- und Drittlandprüfung erforderlich.

14. Speicherkriterien und derzeit geschlossene Retention

Personenbezogene Daten werden nur so lange aufbewahrt, wie der jeweilige Vertrag, die Terminverwaltung, ein Sicherheits-/Fehlerfall, Einwilligungsnachweis, gesetzliche Aufbewahrung, offene Ansprüche oder Rechtsverteidigung dies erfordern. Danach werden sie gelöscht oder anonymisiert. Vertrags-, Widerrufs-, Audit- und gegebenenfalls steuerrelevante Daten werden getrennt nach ihrem Zweck bewertet. Löschsperren bestehen nur, solange ihr konkreter Grund besteht.

Die Anwendung enthält vorbereitete Routinen für Holds, Sitzungen, Tokens, Rate Limits, Mailqueue, Newsletter-DOI und Datenexporte. Im Produktionsprofil stehen `destructive_cleanup_enabled` und `destructive_retention_enabled` jedoch auf `false`; diese Routinen führen dort derzeit keine automatische physische Löschung aus. Ablaufkontrollen verhindern weiterhin die Nutzung abgelaufener Sessions, Tokens, Holds und Exportlinks. Vor Aktivierung müssen reale Cron-Ausführung, Logrotation, Backups, Wiederherstellung und Stichproben dokumentiert werden. Bis dahin erfolgt erforderliche physische Bereinigung kontrolliert durch die Betreiberin, ohne eine unbegrenzte Speicherung zu beabsichtigen.

15. Rechte

Unter den gesetzlichen Voraussetzungen bestehen Rechte auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21) und Schutz vor ausschließlich automatisierten Entscheidungen nach Art. 22. Einwilligungen können jederzeit mit Wirkung für die Zukunft widerrufen werden. Zur Ausübung genügt eine Nachricht an info@glowovabeauty.de.

Es besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde. Zuständig ist insbesondere die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf, Telefon 0211 38424-0, E-Mail poststelle@ldi.nrw.de, https://www.ldi.nrw.de.

16. Änderungen

Diese Erklärung wird angepasst, wenn sich Verarbeitung, Dienstleister, Technik oder Rechtslage ändern. Für Einwilligungen und Verträge wird die jeweils maßgebliche unveränderliche Textversion mit Versionskennung und SHA-256-Nachweis gespeichert.