Datenschutzerklärung

Datenschutzerklärung für Anfragen und Terminvereinbarungen

1. Verantwortlicher

Verantwortlich für die Verarbeitung Ihrer Daten im Rahmen Ihrer Anfrage ist:

Sandra bei Nacht & Nebel

2. Welche Daten wir verarbeiten, wozu und auf welcher Grundlage

Wenn Sie über unser Anfrage-Formular eine Tattoo-Anfrage stellen, verarbeiten wir:

  • Ihre Kontaktangaben: Vor- und Nachname, E-Mail-Adresse, Telefonnummer, Geburtsdatum.
  • Angaben zu Ihrem Wunsch-Tattoo: gewünschte Körperstelle, Stil-/Farbangaben, Beschreibung Ihrer Idee sowie die von Ihnen hochgeladenen Motiv-, Referenz- und Körperbilder.
  • Die anschließende Kommunikation: unseren E-Mail-Verkehr zur Beantwortung Ihrer Anfrage, zu Angeboten und zur Terminvereinbarung.

Zwecke sind die Bearbeitung Ihrer Anfrage, die Erstellung von Angeboten, die Terminvereinbarung und die Durchführung der Tätowierung.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anbahnung und Erfüllung des Vertrags). Soweit wir Rechnungs- und Zahlungsunterlagen aufbewahren, Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Aufbewahrungspflichten).

3. Angaben zu Ihrer Gesundheit (nur bei Bedarf)

Wenn im Gespräch gesundheitsbezogene Umstände zur Sprache kommen, die für eine sichere Tätowierung wichtig sind (z. B. Allergien oder Unverträglichkeiten), notieren wir diese ausschließlich zu Ihrer Sicherheit. Solche Angaben sind Gesundheitsdaten und damit besonders geschützt; wir verarbeiten sie nur mit Ihrer ausdrücklichen Einwilligung. Sie können diese Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.
Rechtsgrundlage: Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung) in Verbindung mit Art. 6 Abs. 1 lit. b DSGVO.

4. Eingesetzte Technik: TODA und deren Dienstleister

Für den Betrieb unseres Anfrage-Formulars und unserer Studio-Verwaltung nutzen wir die Software-Plattform der TODA Tattoo Solutions S.L., Carrer de Miquel Barceló 4, Bloque A2 Apt. 201, 07180 Calvià (Illes Balears), Spanien. TODA verarbeitet die oben genannten Daten ausschließlich in unserem Auftrag und nach unserer Weisung (Auftragsverarbeitung nach Art. 28 DSGVO).

TODA setzt hierfür ihrerseits sorgfältig ausgewählte Dienstleister ein:

  • Supabase (Datenbank, Anmeldung, Datei-Speicher) — Verarbeitung in Frankfurt am Main (EU).
  • Vercel (Auslieferung der Anwendung) und Railway (Server-Prozesse).
  • Resend (Versand und Empfang der E-Mails).
  • Stripe (Zahlungsabwicklung, sofern Sie eine Anzahlung oder Zahlung leisten).

Einzelne dieser Dienstleister verarbeiten Daten in den USA. Für Stripe und Resend erfolgt dies auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission nach Art. 45 DSGVO (Zertifizierung unter dem EU-US Data Privacy Framework, https://www.dataprivacyframework.gov). Für weitere Schritte, die nicht darauf gestützt werden können, bestehen Standardvertragsklauseln nach Art. 46 DSGVO mit ergänzenden Schutzmaßnahmen. Die Verarbeitung erfolgt vorrangig in der EU; einzelne Schritte oder Support-Zugriffe können auch in Drittländern (insbesondere USA) stattfinden.

5. Wie lange wir Ihre Daten speichern

Wir speichern Ihre Daten nur so lange, wie es für die genannten Zwecke erforderlich ist. Kommt kein Auftrag zustande, löschen wir Anfrage-Daten nach [z. B. Ablauf angemessener Frist]. Vertrags- sowie Rechnungs- und Zahlungsunterlagen bewahren wir entsprechend den gesetzlichen Aufbewahrungsfristen auf. Gesundheitsbezogene Notizen löschen wir, sobald sie nicht mehr benötigt werden oder Sie Ihre Einwilligung widerrufen.

6. Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 15–21 DSGVO) sowie das Recht, erteilte Einwilligungen jederzeit mit Wirkung für die Zukunft zu widerrufen. Wenden Sie sich dazu an die oben genannten Kontaktdaten.

Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren — insbesondere bei der Behörde Ihres gewöhnlichen Aufenthaltsorts oder der für uns zuständigen Aufsichtsbehörde [bei Studios in Spanien: Agencia Española de Protección de Datos (AEPD), www.aepd.es — auch für Studios in Katalonien, im Baskenland oder in Andalusien, da die regionalen Behörden dort nur für den öffentlichen Sektor zuständig sind; bei Studios in Deutschland: die Datenschutzbehörde des jeweiligen Bundeslandes].

7. Mindestalter

Unser Angebot richtet sich ausschließlich an Personen ab 18 Jahren. Mit Ihrer Anfrage bestätigen Sie, dass Sie volljährig sind.

8. Änderungen

Es gilt die jeweils im Anfrage-Formular veröffentlichte Fassung dieser Datenschutzerklärung.

Stand: [Datum]