Datenschutzerklärung

1. Verantwortlicher (Art. 13 DSGVO)

Yusuf Ferhat Demir
Schillerstraße 31, 60313 Frankfurt am Main
Deutschland
E-Mail: legal@chairmatch.de
Web: chairmatch.de

Ein gesetzlicher Datenschutzbeauftragter ist derzeit nicht benannt. Alle Datenschutz-Anfragen richten Sie bitte direkt an den oben genannten Verantwortlichen unter legal@chairmatch.de.

2. Zwecke und Rechtsgrundlagen der Verarbeitung

Wir verarbeiten personenbezogene Daten für folgende Zwecke:

• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Registrierung, Buchungsabwicklung, Zahlungsverarbeitung, Anbieterverwaltung.
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Marketing-E-Mails, Statistik-Cookies, Push-Benachrichtigungen, Anfragen zur Haartransplantation und der WhatsApp-Beratungschat (siehe Abschnitte 11 und 12).
• Ausdrückliche Einwilligung in Gesundheitsdaten (Art. 9 Abs. 2 lit. a DSGVO): Ihr Behandlungsinteresse (z. B. Haartransplantation, PRP) bei Anfragen über Formular oder WhatsApp.
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): IT-Sicherheit, Betrugsabwehr, technisch notwendige Logs.
• Gesetzliche Pflicht (Art. 6 Abs. 1 lit. c DSGVO): DAC7-Meldepflichten, steuerliche Aufbewahrung.

3. Kategorien personenbezogener Daten

• Stammdaten: Name, E-Mail, Telefon (bei Registrierung)
• Buchungsdaten: Datum, Uhrzeit, Dienstleistung, Salon, Preis
• Zahlungsdaten: Stripe verarbeitet Kartendaten; wir speichern nur Referenz-IDs und Betrag
• Anbieter: IBAN und Steuernummer für DAC7/Auszahlungsabrechnung
• Bewertungen und Kommentare
• Technische Daten: IP-Adresse, User-Agent, Seitenpfad (visit_logs) für Betrieb und Sicherheit
• Einwilligungs-Log (consent_logs): AGB-, Datenschutz- und Marketing-Einwilligung mit Timestamp und Version
• Cookie-Einwilligung (cookie_consents): Ihre gewählten Cookie-Kategorien

4. Speicherdauer

• Aktive Konten: bis zur Löschung durch Nutzer oder durch uns
• Inaktive Konten: Anonymisierung nach 3 Jahren ohne Anmeldung
• Soft-Delete: 30 Tage Aufbewahrung, dann automatischer Hard-Delete
• Buchungshistorie: anonymisiert für 7 Jahre (steuerliche Pflicht / DAC7)
• Server-Logs: 30 Tage, danach automatische Löschung
• Einwilligungs-Log: bis zur Kontoauflösung (Nachweiszweck)

5. Empfänger und Auftragsverarbeiter

Wir setzen folgende Dienstleister ein (Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO geschlossen bzw. in Vorbereitung):

• Vercel Inc. (San Francisco, USA) — Hosting der Web-App. Grundlage: EU-Standardvertragsklauseln (SCC). Datenschutz
• Supabase Inc. (San Francisco, USA, EU-Datenhaltung) — Datenbank und Authentifizierung. Grundlage: AVV + SCC. Datenschutz
• Stripe, Inc. (Dublin, Irland / USA) — Zahlungsabwicklung. Grundlage: AVV + SCC. Datenschutz
• Resend, Inc. (USA) — Transaktionale E-Mails (Buchungsbestätigungen, Benachrichtigungen). Grundlage: SCC. Datenschutz
• Meta Platforms Ireland Ltd. (Dublin, Irland; Konzernmutter in den USA) — WhatsApp Business Platform für den WhatsApp-Beratungschat. Grundlage: Einwilligung, Datenverarbeitungsbedingungen von Meta + SCC. Bedingungen
• Anthropic, PBC (San Francisco, USA) — KI-gestützte Gesprächsführung im WhatsApp-Chat (Claude API), sofern aktiviert. Grundlage: Einwilligung + SCC. Datenschutz
• Partnerkliniken — Empfänger Ihrer Anfrage zur Haartransplantation, nur mit Ihrer Einwilligung und nur, um Ihnen eine Beratung zu vermitteln. Die Klinik ist für ihre eigene Verarbeitung selbst verantwortlich.
• web-push / VAPID — Push-Benachrichtigungen über Browser-Push-Dienste (z. B. Google FCM). Grundlage: Einwilligung.

6. Übermittlung in Drittländer

Einige der o. g. Anbieter haben ihren Sitz in den USA (Drittland ohne Angemessenheitsbeschluss). Die Übermittlung erfolgt auf Grundlage von EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) und ggf. ergänzender Garantien der Anbieter.

7. Ihre Rechte (Art. 15–21 DSGVO)

• Auskunft (Art. 15): Was wir über Sie gespeichert haben
• Berichtigung (Art. 16): Falsche Daten korrigieren lassen
• Löschung (Art. 17): Konto löschen — Soft-Delete, Hard-Delete nach 30 Tagen (in-App verfügbar)
• Datenübertragbarkeit (Art. 20): JSON/CSV/ZIP-Export — in-App als "Daten exportieren" verfügbar
• Einschränkung (Art. 18): Verarbeitung einschränken — Anfrage per E-Mail
• Widerspruch (Art. 21): Gegen Verarbeitung auf Basis berechtigter Interessen widersprechen
• Widerruf der Einwilligung (Art. 7 Abs. 3): Einwilligungen (z. B. Marketing-E-Mails, Cookies) jederzeit widerrufbar — Abmeldelink in jeder E-Mail, Cookie-Einstellungen im Footer

Anfragen an: legal@chairmatch.de — Antwort innerhalb von 30 Tagen.

8. Beschwerderecht bei Aufsichtsbehörde

Sie haben das Recht, sich bei der zuständigen Datenschutzaufsichtsbehörde zu beschweren. Für uns zuständig ist:

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit
Postfach 3163 · 65021 Wiesbaden
datenschutz.hessen.de

9. Automatisierte Entscheidungsfindung und Profiling

Wir setzen keine automatisierte Entscheidungsfindung oder Profiling im Sinne von Art. 22 DSGVO ein. Suchergebnisse und Rankings basieren auf sachlichen Kriterien (Bewertung, Distanz, Verfügbarkeit). Anfragen zur Haartransplantation werden anhand Ihrer Angaben (z. B. gewünschter Zeitraum) intern priorisiert; das dient nur der Reihenfolge unserer Rückrufe und hat keine rechtliche oder ähnlich erhebliche Wirkung für Sie.

10. Cookies und Tracking (§ 25 TDDDG)

Technisch notwendig (immer aktiv): Session-Cookie, CSRF-Schutz, Authentifizierungs-Token. Keine Einwilligung erforderlich (§ 25 Abs. 2 TDDDG).

Statistik/Performance (Opt-in): Aggregierte Besuchsstatistiken für Betrieb und Optimierung sowie Sitzungsaufzeichnungen zur Fehleranalyse (siehe Abschnitt 10a). Einwilligung erforderlich (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Sofern wir Google Analytics 4 einsetzen, wird das Skript von Google erst nach Ihrer Einwilligung geladen; IP-Adressen werden von Google in der EU gekürzt, Werbefunktionen sind deaktiviert. Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; Übermittlung in die USA auf Grundlage des EU-US Data Privacy Framework.

Marketing (Opt-in): Derzeit nicht aktiv. Bei Aktivierung: erneute Einwilligung erforderlich.

Cookie-Einstellungen können Sie jederzeit über Cookie-Einstellungen im Footer ändern.

10a. Fehlerüberwachung (Sentry)

Zur Erkennung und Behebung technischer Fehler nutzen wir Sentry (Functional Software Inc., 45 Fremont Street, San Francisco, CA 94105, USA). Die Daten werden in der EU-Region von Sentry (Frankfurt am Main) gespeichert. Bei einem Fehler übermittelt Ihr Browser eine Fehlermeldung mit technischen Angaben (aufgerufene Seite, Browser, Betriebssystem, Zeitpunkt, IP-Adresse). Rechtsgrundlage: unser berechtigtes Interesse an einem stabilen und sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Sitzungsaufzeichnung (nur mit Einwilligung): Nur wenn Sie unter „Statistik/Performance" eingewilligt haben, zeichnet Sentry Seitenaufbau und Interaktionen auf (bei einem Teil der Sitzungen sowie kurz vor einem Fehler), um Fehler nachzuvollziehen. Alle Texte und Eingaben werden dabei im Browser maskiert, Bilder und Videos nicht aufgezeichnet. Dazu werden Daten in Ihrem Browser (Session Storage) abgelegt. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG. Widerruf jederzeit über die Cookie-Einstellungen. Speicherdauer: gemäß der Aufbewahrungsfrist unseres Sentry-Tarifs, danach automatische Löschung. Eine Übermittlung in die USA ist durch Zugriffe des Anbieters nicht auszuschließen; sie erfolgt auf Grundlage des EU-US Data Privacy Framework bzw. von EU-Standardvertragsklauseln.

10b. Kartendarstellung (OpenStreetMap)

Auf Seiten mit Karte (z. B. Mietangebote) laden wir Kartenkacheln von den Servern der OpenStreetMap Foundation (St John’s Innovation Centre, Cowley Road, Cambridge, CB4 0WS, Vereinigtes Königreich). Dabei wird Ihre IP-Adresse an die OSMF übermittelt. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission. Es werden keine Cookies gesetzt. Rechtsgrundlage: unser berechtigtes Interesse an einer verständlichen Darstellung von Standorten (Art. 6 Abs. 1 lit. f DSGVO).

11. Anfragen zur Haartransplantation

Über die Seiten zur Haartransplantation können Sie ohne Konto eine kostenlose Anfrage senden. Wir verarbeiten dabei Vorname, Telefonnummer, optional E-Mail, Stadt und Budget, Ihr Behandlungsinteresse und Ihren Wunschzeitraum, außerdem die Herkunft der Anfrage (Kampagnen-Parameter, Einstiegsseite, verweisende Seite) sowie eine pseudonymisierte Kennung (Hash) Ihrer IP-Adresse zum Schutz vor Missbrauch.

Zweck: persönliche Kontaktaufnahme und Vermittlung einer Beratung bei einer Partnerklinik. ChairMatch führt selbst keine Behandlungen oder ärztlichen Beratungen durch. Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO), die wir mit Zeitpunkt und Textversion speichern. Speicherdauer: bis zum Abschluss der Vermittlung bzw. bis zu Ihrem Widerruf, danach Löschung, soweit keine gesetzliche Aufbewahrungspflicht besteht. Widerruf: jederzeit per E-Mail an datenschutz@chairmatch.de.

11a. Anfragen zur Stuhl- und Raummiete

Über das Anfrageformular auf unseren Seiten zur Stuhl-, Liegen- und Raummiete (z. B. /friseur/frankfurt) können Sie ohne Konto anfragen. Wir verarbeiten Name, E-Mail-Adresse, optional Telefonnummer, ob Sie einen Platz suchen oder anbieten, die Platzart, die Stadt und Ihre optionale Nachricht, außerdem die Seite, über die Sie kamen, Kampagnen-Parameter und eine pseudonymisierte Kennung (Hash) Ihrer IP-Adresse zum Schutz vor Missbrauch.

Zweck: Kontaktaufnahme zu Ihrer Anfrage und Vermittlung eines passenden Platzes. Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) sowie vorvertragliche Maßnahmen auf Ihre Anfrage (Art. 6 Abs. 1 lit. b DSGVO). Empfänger: unser Team; Speicherung bei Supabase (EU), Benachrichtigung per E-Mail über Resend. Speicherdauer: bis zum Abschluss der Vermittlung bzw. bis zu Ihrem Widerruf, danach Löschung, soweit keine gesetzliche Aufbewahrungspflicht besteht. Widerruf: jederzeit per E-Mail an datenschutz@chairmatch.de.

12. WhatsApp-Beratungschat

Wenn Sie uns über WhatsApp schreiben, nutzen wir die WhatsApp Business Platform von Meta. Ihre Nachrichten, Ihre Telefonnummer und Ihr WhatsApp-Profilname werden dabei über die Server von Meta übermittelt. Ein automatischer Assistent stellt Ihnen einige Fragen (Behandlungsinteresse, Zeitraum, optional Stadt, Name und Budget), um Ihre Anfrage an eine Partnerklinik zu vermitteln.

• Einwilligung zuerst: Bevor Sie mit „JA" eingewilligt haben, speichern wir keine Nachrichteninhalte und werten keine Angaben aus — gespeichert wird nur, dass eine Nachricht eingegangen ist.
• KI-gestützte Gesprächsführung: Sofern aktiviert, werden Ihre Nachrichten nach Ihrer Einwilligung an die Claude API von Anthropic übermittelt, um Angaben aus freiem Text zu erkennen und allgemeine Fragen kurz zu beantworten. Vor Ihrer Einwilligung gehen keine Nachrichten an die KI. Die KI stellt keine Diagnosen und gibt keine medizinischen Empfehlungen.
• Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), für das Behandlungsinteresse Art. 9 Abs. 2 lit. a DSGVO.
• Speicherung: Gesprächsverlauf und Angaben in unserer Datenbank (Supabase, EU) bis zum Abschluss der Vermittlung bzw. bis zu Ihrem Widerruf.
• Widerruf: Mit der Nachricht STOP beenden Sie die Verarbeitung sofort; Sie erhalten danach keine Nachrichten mehr.
• Löschung: Mit der Nachricht LÖSCHEN entfernen wir Chatverlauf und Gesprächsdaten sofort und anonymisieren Ihre Anfrage. Alternativ per E-Mail an datenschutz@chairmatch.de. Im Löschprotokoll steht keine Telefonnummer.

13. Änderungen dieser Erklärung

Bei wesentlichen Änderungen informieren wir Sie per E-Mail oder In-App-Hinweis. Die jeweils aktuelle Version ist unter chairmatch.de/datenschutz abrufbar.