Datenschutzerklärung

Der Verantwortliche für diese Plattform ist Octobooking, ein Beta-Dienst betrieben von Tomas Bardhi, erreichbar unter privacy@octobooking.com.

Octobooking ist derzeit eine kostenlose Beta, die von einer Privatperson betrieben wird. Nach der DSGVO kann eine natürliche Person Verantwortlicher sein. Sobald die Betreibergesellschaft gegründet ist, werden hier ihre vollständigen Angaben (Firmenname, Sitz, USt-IdNr.) veröffentlicht.

Octobooking ist eine cloudbasierte Plattform für die Termin- und Buchungsverwaltung für Betriebe wie Friseure, Salons und ähnliche Dienstleister („Betriebe“). Sie wird derzeit als kostenlose Beta angeboten. Sie ist ein Planungswerkzeug — sie wickelt keine Zahlungen für Betriebe ab, stellt keine Rechnungen oder Steuerdokumente aus und steht in keiner Verbindung zu einer Steuerbehörde.

Diese Erklärung gilt für zwei unterschiedliche Gruppen:

• Betriebsinhaber und ihr Personal, die sich registrieren und die Octobooking-Plattform direkt nutzen; und
• Endkunden dieser Betriebe, die mit den öffentlichen Buchungsseiten interagieren.

Für die Daten der Endkunden ist der Betriebsinhaber der eigenständige Verantwortliche; Octobooking handelt nur als Auftragsverarbeiter in seinem Auftrag (Art. 28 DSGVO). Siehe Abschnitt 11.

Octobooking fragt keine besonderen Kategorien personenbezogener Daten ab (Art. 9 DSGVO — etwa Gesundheits-, Religions- oder biometrische Daten). Die Freitextnotizen, die ein Betrieb einem Kunden oder einer Buchung hinzufügen kann, könnten jedoch grundsätzlich solche Daten enthalten (z. B. eine von einem Salon notierte Allergie).

Betriebsinhaber dürfen als Verantwortliche dieser Daten keine besonderen Kategorien von Daten erfassen, sofern sie keine gültige Rechtsgrundlage nach Art. 9 DSGVO haben. Octobooking verwendet diese Notizen ausschließlich zur Anzeige gegenüber dem Betrieb, der sie eingegeben hat.

Die nachstehende Tabelle betrifft Verarbeitungen, bei denen Octobooking als Verantwortlicher handelt — d. h. für die Daten der Betriebsinhaber und ihres Personals. Für die Daten der Endkunden handelt Octobooking ausschließlich als Auftragsverarbeiter auf Weisung des Betriebsinhabers; dieser ist für seine eigene Rechtsgrundlage verantwortlich (siehe Abschnitt 11).

Wir geben personenbezogene Daten nur an die nachstehenden Anbieter weiter, die jeweils durch einen schriftlichen Auftragsverarbeitungsvertrag gebunden sind:

Deine Daten werden in der EU gespeichert (Neon, Frankfurt). Mehrere Unterauftragsverarbeiter haben ihren Sitz in den USA, und unsere Bildspeicherung (UploadThing) befindet sich in Singapur — beide profitieren nicht von einem EU-Angemessenheitsbeschluss. Alle derartigen Übermittlungen erfolgen auf Grundlage der Standardvertragsklauseln (Kommissionsbeschluss 2021/914/EU), ergänzt durch Verschlüsselung bei der Übertragung (TLS 1.2+) und im Ruhezustand (AES-256). Es werden keine Daten in Länder ohne Angemessenheitsbeschluss oder geeignete Garantien übermittelt.

• Kontodaten des Betriebsinhabers:Für die Dauer des Kontos, zuzüglich 30 Tage nach Löschung, danach endgültig gelöscht.
• Personenbezogene Daten von Endkunden (Name, E-Mail, Telefon, Notizen):Bei Kontolöschung oder einem gültigen Löschantrag sofort gelöscht — durch anonyme Platzhalter ersetzt.
• Anonymisierte Buchungsdaten (keine personenbezogenen Daten):Bis zu 2 Jahre ab dem letzten Buchungsdatum, danach endgültig gelöscht.
• Sitzungs- und Authentifizierungsprotokolle:Maximal 90 Tage.
• Analysedaten:Nur aggregiert, keine personenbezogenen Daten, gemäß Vercels Aufbewahrungsrichtlinie.

Wenn ein Betriebsinhaber oder Endkunde sein Konto löscht oder einen gültigen Löschantrag stellt, wenden wir ein Pseudonymisierungsverfahren an:

• Alle persönlichen Identifikatoren — Name, E-Mail, Telefonnummer, Notizen — werden sofort mit anonymen Platzhaltern überschrieben.
• Der Authentifizierungs-Kontodatensatz wird endgültig gelöscht.
• Buchungsdaten werden in anonymisierter Form (Daten, Leistungsnamen, keine Identifikatoren) bis zu 2 Jahre aufbewahrt und dann gelöscht.

Betriebsinhaber können die Löschung in ihren Kontoeinstellungen veranlassen. Endkunden können die Löschung unter privacy@octobooking.com beantragen.

Nicht notwendige Cookies werden erst gesetzt, nachdem du über das Cookie-Banner eingewilligt hast. Du kannst deine Auswahl jederzeit über den Link „Cookie-Einstellungen“ in der Fußzeile der Website ändern oder widerrufen.

Die Einwilligungsoption „Funktional“ setzt kein Cookie; sie steuert, ob die Standortkarte auf der öffentlichen Buchungsseite eines Betriebs geladen wird. Das Laden der Karte teilt deine IP-Adresse mit unserem Kartenkachel-Anbieter OpenFreeMap (mit Sitz in der EU). Wird die funktionale Einwilligung abgelehnt, wird anstelle der Karte ein Platzhalter angezeigt.

Wenn ein Betriebsinhaber Octobooking nutzt, um die Daten seiner Kunden zu erheben und zu verwalten, ist er der eigenständige Verantwortliche für diese Daten (Art. 4(7) DSGVO). Octobooking handelt ausschließlich als Auftragsverarbeiter (Art. 28 DSGVO) und verarbeitet ausschließlich nach den Weisungen des Betriebsinhabers.

Betriebsinhaber sind verantwortlich für:

• die Festlegung einer Rechtsgrundlage für die Erhebung der Daten ihrer Kunden;
• die Bereitstellung einer angemessenen Datenschutzerklärung an ihre Kunden;
• die Bearbeitung von Betroffenenanfragen ihrer eigenen Kunden.

Die vollständigen Bedingungen dieses Verhältnisses sind im Auftragsverarbeitungsvertrag (AVV) geregelt, den jeder Betriebsinhaber bei der Erstellung eines Betriebs akzeptiert.

• Auskunft (Art. 15):Eine Kopie der über dich gespeicherten personenbezogenen Daten anfordern.
• Berichtigung (Art. 16):Uns bitten, unrichtige oder unvollständige Daten zu korrigieren.
• Löschung (Art. 17):Uns bitten, deine personenbezogenen Daten zu löschen. Siehe Abschnitt 9.
• Einschränkung (Art. 18):Uns bitten, die Verarbeitung unter bestimmten Umständen einzuschränken.
• Übertragbarkeit (Art. 20):Deine Daten in einem strukturierten, maschinenlesbaren Format erhalten, sofern die Verarbeitung auf Einwilligung oder Vertrag beruht und automatisiert erfolgt.
• Widerspruch (Art. 21):Der auf berechtigtem Interesse beruhenden Verarbeitung widersprechen.
• Widerruf der Einwilligung:Soweit die Verarbeitung auf Einwilligung beruht (z. B. Analyse-Cookies), diese jederzeit widerrufen, ohne die bisherige Verarbeitung zu berühren.

Wende dich an privacy@octobooking.com, um ein Recht auszuüben. Wir antworten innerhalb eines Monats, der bei komplexen Anfragen um bis zu zwei weitere Monate verlängert werden kann; in diesem Fall informieren wir dich.

Du hast das Recht, bei der Datenschutzbehörde deines Wohnsitzlandes Beschwerde einzureichen:

• Italien — Garante per la protezione dei dati personali (garanteprivacy.it)
• Österreich — Datenschutzbehörde (dsb.gv.at)
• Alle anderen EU/EWR-Länder — die Aufsichtsbehörde deines Mitgliedstaats. Vollständige Liste auf der Website des Europäischen Datenschutzausschusses.

• Alle Daten bei der Übertragung mit TLS 1.2+ verschlüsselt
• Ruhende Daten vom Datenbankanbieter verschlüsselt (AES-256)
• Passwörter als bcrypt-Hashes gespeichert — niemals im Klartext
• Produktionszugriff durch MFA geschützt, beschränkt auf autorisiertes Personal
• Auth-APIs durch mehrschichtige Kontrollen geschützt: Cloudflare Turnstile (Bot-Erkennung), verteilte IP-Ratenbegrenzung (Upstash Redis), Telefonnummern-Risikobewertung (Twilio Lookup V2) und OTP-Versand über Twilio Verify mit Fraud Guard
• Mandantentrennung: jeder Betrieb greift nur auf seine eigenen Daten zu

Wir können diese Erklärung aktualisieren, um Änderungen unseres Dienstes oder des geltenden Rechts widerzuspiegeln. Bei wesentlichen Änderungen benachrichtigen wir registrierte Nutzer mindestens 30 Tage vor Inkrafttreten per E-Mail. Version und Datum oben auf dieser Seite spiegeln stets die aktuelle Fassung wider.