Datenschutzerklärung

URBANEE (Einzelunternehmen), Inhaber: Egor Dvortsevoy

Heylstraße 11, 10825 Berlin, Deutschland

E-Mail: support@tattoodeck.com

Ein Datenschutzbeauftragter ist gesetzlich nicht bestellt; Anfragen richte bitte an die oben genannte E-Mail-Adresse.

Für die Website, unsere Marketing-Kommunikation und die Konten unserer Kundschaft (Studios, Künstler:innen) sind wir Verantwortlicher.

Für die Daten, die ein Studio über seine eigene Kundschaft in Tattoodeck verarbeitet (Termine, Kontaktdaten, Einverständniserklärungen, Gesundheitsangaben, Bilder), ist das jeweilige Studio Verantwortlicher. Wir sind insoweit Auftragsverarbeiter nach Art. 28 DSGVO und handeln nur nach Weisung des Studios. Ein Auftragsverarbeitungsvertrag wird auf Anfrage bereitgestellt.

• Kontodaten: Name, E-Mail-Adresse, Passwort-Hash bzw. Anmeldung über Google, Studioname, Rolle, Sprache und Zeitzone

• Stammdaten des Studios: Adresse, Instagram-Handle, Logo, Leistungen und Arbeitszeiten; Telefonnummer und USt-IdNr. nur, wenn das Studio diese freiwillig einträgt

• Nutzungsdaten: Zeitpunkte von Anmeldungen und Änderungen, Änderungsprotokolle (Audit-Logs), technische Protokolle

• Technische Daten: IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seite, Browsertyp — als Server-Logs zur Sicherheit und Fehleranalyse

• Kommunikation: E-Mails und Supportanfragen an uns

• Abrechnungsdaten: Abo-Status, Plan, Anzahl Künstler:innen und Kennungen aus dem Bezahlvorgang. Zahlungsdaten (Karten- oder Kontodaten) erhalten wir nicht; sie werden ausschließlich von Stripe verarbeitet.

• Inhalte im Auftrag des Studios: Kundendaten, Terminverlauf, Anfragen, Referenzbilder, Nachrichten sowie Einverständniserklärungen samt Gesundheitsangaben und Unterschrift

• Bereitstellung des Dienstes, Vertragsabwicklung, Registrierung, Login, Support: Art. 6 Abs. 1 lit. b DSGVO (Vertrag)

• Rechnungsstellung, Abo-Verwaltung, steuerliche und handelsrechtliche Aufbewahrung: Art. 6 Abs. 1 lit. b und lit. c DSGVO

• Betrieb, Sicherheit, Missbrauchs- und Betrugsprävention, Fehleranalyse, Verbesserung des Dienstes: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse)

• Transaktions-E-Mails wie Terminbestätigungen, Erinnerungen, Portallinks und Einverständnisanfragen: Art. 6 Abs. 1 lit. b DSGVO bzw. Weisung des Studios

• Werbliche Ansprache, soweit sie stattfindet: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), jederzeit widerruflich

• Gesundheitsdaten in Einverständniserklärungen: Verarbeitung durch das Studio auf Grundlage von Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung der betroffenen Person); wir verarbeiten sie ausschließlich als Auftragsverarbeiter.

Gesundheitsangaben aus dem Einverständnis-Quiz sind besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO. Sie sind innerhalb des Studios nur für Inhaber:in, Leitung und die behandelnde Künstler:in sichtbar, technisch über Zugriffsregeln in der Datenbank erzwungen.

Unterschriebene Erklärungen sind unveränderbar und mit Zeitstempel, IP-Adresse und Prüfsumme abgelegt. Die PDF-Dateien liegen in einem privaten Speicher; Zugriff erfolgt nur über kurzlebige signierte Links.

Signierlinks für Kundschaft sind einmalig verwendbar und laufen nach 72 Stunden ab.

• Hosting der Datenbank, Authentifizierung und Dateispeicher: Supabase, Rechenzentrum in der Europäischen Union (Frankfurt am Main)

• Anwendungs- und Website-Hosting sowie Content Delivery: Cloudflare

• Zahlungsabwicklung für Abos: Stripe Payments Europe, Ltd. (Dublin, Irland) — erhält Abrechnungs- und Kontaktdaten für Zahlung, Abo-Verwaltung und Rechnungsstellung

• Anzahlungen deiner Kundschaft, falls aktiviert: Stripe, mit den Zugangsdaten des jeweiligen Studios

• E-Mail-Versand: Resend bzw. der Versanddienst unseres Hosters, Versand über notify.tattoodeck.com

• Kalender-Verbindungen, falls aktiviert: Google Calendar, Apple iCloud (CalDAV), Calendly, Cal.com — nur mit ausdrücklicher Verknüpfung durch das Studio; bei aktiver Verbindung werden Termindaten an den jeweiligen Anbieter übertragen

• Steuerberatung, Rechtsberatung und Behörden, soweit gesetzlich erforderlich

Mit allen Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO. Eine Übermittlung in Drittländer erfolgt nur auf Grundlage eines Angemessenheitsbeschlusses oder von EU-Standardvertragsklauseln (Art. 44 ff. DSGVO).

• Kontodaten: für die Vertragsdauer, danach Löschung innerhalb von 30 Tagen bis 3 Monaten

• Rechnungs- und Buchungsbelege: 10 Jahre gemäß § 147 AO und § 257 HGB

• Unterschriebene Einverständniserklärungen: 10 Jahre, anschließend automatische Löschung

• Server- und Sicherheitsprotokolle: in der Regel 30 Tage

• Kundendaten eines Studios: nach Weisung des Studios; auf Wunsch Löschung oder Anonymisierung, wobei unterschriebene Einverständnisse aus Nachweisgründen bis zum Ende der Aufbewahrungsfrist erhalten bleiben

Technisch notwendig: Anmeldesitzung, Sprachauswahl, Design und Sicherheitsmerkmale (Art. 6 Abs. 1 lit. f DSGVO, § 25 Abs. 2 Nr. 2 TDDDG). Diese sind für den Betrieb erforderlich und werden ohne Einwilligung gesetzt.

Statistik – Google Analytics 4 (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Wir setzen es ausschließlich nach deiner Einwilligung ein (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG), mit gekürzter IP-Adresse. Verarbeitet werden pseudonyme Nutzungsdaten wie aufgerufene Seiten, Verweildauer, ungefähre Region, Gerät und Herkunftsquelle. Eine Übermittlung in die USA an Google LLC ist möglich; sie erfolgt auf Grundlage von EU-Standardvertragsklauseln und des EU-US Data Privacy Framework.

Marketing – Meta-Pixel und Conversions API (Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irland). Ebenfalls nur nach deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Damit messen wir den Erfolg unserer Instagram- und Facebook-Werbung und bilden Zielgruppen. Meta verarbeitet dabei Cookie-Kennungen und Ereignisdaten wie Seitenaufrufe und Registrierungen, teils gemeinsam mit uns als gemeinsam Verantwortliche und teils in eigener Verantwortung; eine Übermittlung in die USA ist möglich (Standardvertragsklauseln, EU-US Data Privacy Framework).

Google Search Console nutzen wir zur Auswertung unserer Sichtbarkeit in der Google-Suche. Dafür werden keine Cookies auf dieser Website gesetzt; wir sehen nur aggregierte Suchdaten ohne Personenbezug.

Konkret eingesetzte Kennungen und Speicherdauern: Google Analytics 4 setzt „_ga“ (2 Jahre) und „_ga_<Property-ID>“ (2 Jahre); der Meta-Pixel setzt „_fbp“ (3 Monate) und verarbeitet ggf. den Klick-Parameter „fbclid“ bzw. „_fbc“ (3 Monate). Deine Einwilligungsentscheidung selbst speichern wir lokal in deinem Browser (Local Storage, Schlüssel „td.consent.v2“) inklusive Zeitpunkt, damit wir das Banner nicht erneut zeigen und deine Wahl nachweisen können.

Übermittelte Ereignisse: An Google Analytics 4 senden wir Seitenaufrufe sowie einzelne Aktionen wie Anmeldung („login“) und abgesendete Buchungsanfragen („booking_request_submitted“). An Meta senden wir Seitenaufrufe („PageView“) und die erfolgreiche Registrierung eines Studio- oder Artist-Kontos („CompleteRegistration“) — ohne Umsatz- oder Preisangaben.

Kein Abgleich von Kundendaten: Wir übermitteln keine E-Mail-Adressen, Telefonnummern oder Namen an Meta oder Google (kein Custom-Audience-Upload, kein erweiterter Abgleich). Daten deiner Kundschaft aus Tattoodeck werden nie für Werbezwecke verwendet.

Gemeinsame Verantwortlichkeit: Für die Erhebung der Pixel-Daten haben wir mit Meta eine Vereinbarung nach Art. 26 DSGVO (Meta „Controller Addendum“) geschlossen; Meta erfüllt die Informationspflichten für die eigene Weiterverarbeitung. Du kannst der Nutzung für Werbung zusätzlich direkt bei den Anbietern widersprechen: in den Meta-Einstellungen unter „Werbepräferenzen“ bzw. bei Google unter myadcenter.google.com.

Beim ersten Besuch fragt ein Banner deine Einwilligung ab. Vor der Einwilligung werden keine Statistik- oder Marketing-Dienste geladen. Du kannst deine Auswahl jederzeit über „Cookie-Einstellungen“ im Footer ändern oder widerrufen; die Verarbeitung endet dann für die Zukunft. Der Checkout von Stripe setzt eigene, für die Zahlung erforderliche Cookies.

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO) sowie das Recht, eine Einwilligung jederzeit zu widerrufen.

Anfragen richte bitte an support@tattoodeck.com. Wir antworten innerhalb eines Monats.

Betrifft deine Anfrage Daten, die ein Studio über dich verarbeitet, wende dich bitte direkt an dieses Studio; wir leiten Anfragen bei Bedarf weiter. In Tattoodeck können Studios Auskunft, Export und Löschung für ihre Kundschaft direkt ausführen.

Schriftarten werden von unseren eigenen Servern in der EU ausgeliefert. Es werden keine Google Fonts oder andere externe Content-Delivery-Netzwerke aus dem Browser der Besucher geladen, sodass keine IP-Adressen an Dritte außerhalb der EU übertragen werden.

Wir treffen angemessene technische und organisatorische Maßnahmen: Transportverschlüsselung (TLS), Verschlüsselung im Ruhezustand, rollenbasierte Zugriffsregeln auf Datenbankebene, Trennung der Mandanten, private Dateispeicher mit kurzlebigen signierten Links, Änderungsprotokolle und Minimalprinzip beim Zugriff.

Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59–61, 10555 Berlin.

Wir passen diese Datenschutzerklärung an, wenn sich der Dienst oder die Rechtslage ändert. Die jeweils aktuelle Fassung ist auf dieser Seite abrufbar; das Datum steht am Ende.