Datenschutzerklärung – AFACIAL Skin Bar

Stand: 29.09.2026

Der Schutz Ihrer personenbezogenen Daten ist uns ein wichtiges Anliegen. Wir verarbeiten Ihre Daten ausschließlich auf Grundlage der gesetzlichen Bestimmungen (Datenschutz-Grundverordnung – DSGVO, österreichisches Datenschutzgesetz – DSG, Telekommunikationsgesetz – TKG 2021). In dieser Datenschutzerklärung informieren wir Sie über die wichtigsten Aspekte der Datenverarbeitung auf unserer Website und in unserem Studio.

1. Verantwortlicher

Vitalite Kosmo e.U. (Marke „AFACIAL Skin Bar“)
Inhaberin: Yuliya Lapygina
Am Heumarkt 9/1, 1030 Wien, Österreich
Tel.: +43 1 992 99 38 · WhatsApp: +43 676 886063333
E-Mail: termin@afacial.at

2. Hosting und Server-Protokolle

Unsere Website liegt bei der OVH SAS, 2 rue Kellermann, 59100 Roubaix, Frankreich, in einem Rechenzentrum in der EU. OVH ist für uns als Auftragsverarbeiter tätig (Art 28 DSGVO).

Beim Aufruf der Website verarbeitet der Server automatisch die Daten, die Ihr Browser übermittelt: IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Adresse, zuvor besuchte Seite, Browsertyp und Betriebssystem. Diese Daten brauchen wir, um die Website auszuliefern und ihren sicheren, stabilen Betrieb zu gewährleisten, etwa zur Abwehr von Angriffen. Wir führen sie nicht mit anderen Daten zusammen und werten sie nur aus, wenn eine Störung oder ein Angriff das erfordert.

Rechtsgrundlage: berechtigtes Interesse an einer sicheren und funktionsfähigen Website (Art 6 Abs 1 lit f DSGVO).

3. Cookies und Ihre Einwilligung

Cookies sind kleine Textdateien, die Ihr Browser speichert. Technisch notwendige Cookies setzen wir ohne Einwilligung, weil die Website sonst nicht richtig funktioniert. Alle anderen Dienste – Statistik, Werbung und der Chat – laden erst, wenn Sie im Cookie-Fenster zustimmen. Die Zustimmung ist freiwillig; unsere Website können Sie auch ohne sie vollständig nutzen.

Das Cookie-Fenster stellt die CookieYes Limited, 3 Warren Yard, Warren Park, Wolverton Mill, Milton Keynes, MK12 5NW, Vereinigtes Königreich, bereit, die für uns als Auftragsverarbeiter tätig ist (Art 28 DSGVO). Es wird von Servern von CookieYes geladen; dabei wird Ihre IP-Adresse übertragen. Ihre Auswahl speichern wir im Cookie „cookieyes-consent“ (12 Monate). Als Nachweis Ihrer Einwilligung speichert CookieYes außerdem eine zufällige Einwilligungs-Kennung, Ihre Auswahl, Datum und Uhrzeit sowie das Land, aus dem Sie die Seite aufrufen. Ihre Auswahl können Sie jederzeit über „Cookie-Einstellungen“ am Ende jeder Seite ändern oder widerrufen; der Widerruf gilt für die Zukunft.

Die Kategorien im Cookie-Fenster:

Notwendig: speichert Ihre Cookie-Auswahl.
Funktional: Live-Chat von Superchat (Punkt 4 d).
Statistik: Google Analytics und Microsoft Clarity (Punkt 7).
Werbung: Google Ads, Meta-Pixel und Klaviyo (Punkt 8).

Google-Dienste erhalten Ihre Auswahl über den „Consent Mode“ von Google: Solange Sie nicht zugestimmt haben, setzen sie keine Analyse- oder Werbe-Cookies und senden keine Messdaten.

Rechtsgrundlage: für notwendige Cookies § 165 Abs 3 TKG 2021 und unser berechtigtes Interesse am Betrieb der Website (Art 6 Abs 1 lit f DSGVO); für alle anderen Dienste Ihre Einwilligung (§ 165 Abs 3 TKG 2021 i. V. m. Art 6 Abs 1 lit a DSGVO); für den Nachweis der Einwilligung unsere rechtliche Verpflichtung (Art 6 Abs 1 lit c i. V. m. Art 7 Abs 1 DSGVO).

4. Kontakt, Anfragen und Terminbuchung

a) Telefon, E-Mail, SMS und WhatsApp

Wenn Sie uns per Telefon, E-Mail, SMS oder WhatsApp kontaktieren, verarbeiten wir die von Ihnen angegebenen Daten (z. B. Name, Telefonnummer, E-Mail-Adresse, gewünschte Behandlung, Terminwunsch), um Ihre Anfrage zu bearbeiten, Termine zu vereinbaren und Sie an Termine zu erinnern.

Bei WhatsApp verarbeitet zusätzlich die WhatsApp Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland, Ihre Daten nach ihren eigenen Bestimmungen; eine Übermittlung in die USA ist dabei möglich. Wenn Sie das nicht möchten, erreichen Sie uns per Telefon oder E-Mail.

Rechtsgrundlage: Vertragserfüllung bzw. vorvertragliche Maßnahmen (Art 6 Abs 1 lit b DSGVO), sonst unser berechtigtes Interesse an der Beantwortung Ihrer Anfrage (Art 6 Abs 1 lit f DSGVO).

b) Anfrage-Formular („Welcome Special“)

Über das Formular „Welcome Special“ können Sie uns Ihren Namen, Ihre E-Mail-Adresse, Ihre Telefonnummer und Ihr Anliegen schicken. Wir speichern die Anfrage in unserer Website, wo sie nicht öffentlich einsehbar ist, und erhalten sie per E-Mail, um Sie zu kontaktieren und einen Termin zu vereinbaren. Zum Schutz vor Spam prüfen wir ein unsichtbares Feld und die Ausfüllzeit; dafür werden keine Cookies gesetzt.

Rechtsgrundlage: vorvertragliche Maßnahmen auf Ihre Anfrage (Art 6 Abs 1 lit b DSGVO) und Ihre Einwilligung beim Absenden (Art 6 Abs 1 lit a DSGVO). Die Anfrage wird nach 6 Monaten automatisch gelöscht.

Setzen Sie zusätzlich das freiwillige Häkchen „Angebote per E-Mail“, übermitteln wir Ihren Vornamen, Ihre E-Mail-Adresse, Ihre Telefonnummer und Ihr Anliegen an unseren Newsletter-Dienst Klaviyo (Punkt 9 a). Sie erhalten dann eine kurze Willkommens-Serie per E-Mail mit Informationen zu unseren Behandlungen und Ihrem Welcome Special und danach unseren Newsletter. Rechtsgrundlage dafür ist Ihre Einwilligung (Art 6 Abs 1 lit a DSGVO, § 174 TKG 2021); abmelden können Sie sich jederzeit über den Link in jeder E-Mail.

c) Online-Buchung und Gutscheine (Phorest)

Termine buchen Sie online über das Buchungssystem Phorest, Gutscheine kaufen Sie im Gutschein-Shop von Phorest. Beides öffnet sich über Links auf unserer Website auf Seiten von Phorest. Dort verarbeiten wir Ihre Angaben (z. B. Name, Kontaktdaten, gewählte Behandlung und Termin, bei Gutscheinen auch Bestell- und Zahlungsdaten), um Termine zu verwalten, Bestätigungen und Erinnerungen zu schicken und Gutscheine auszustellen. Online-Zahlungen – für Gutscheine und allfällige Anzahlungen – laufen per Karte über PhorestPay, den Zahlungsdienst von Phorest. Anbieter ist die nDevor Systems Ltd T/A Phorest, 66/67 Great Strand Street, Dublin 1, D01 RW84, Irland, die für uns als Auftragsverarbeiter tätig ist (Art 28 DSGVO).

Rechtsgrundlage: Vertragserfüllung bzw. vorvertragliche Maßnahmen (Art 6 Abs 1 lit b DSGVO).

d) Live-Chat (Superchat)

Wenn Sie der Kategorie „Funktional“ zustimmen, laden wir das Chat-Fenster von Superchat. Darüber können Sie uns schreiben oder direkt zu WhatsApp und anderen Messengern wechseln. Superchat verarbeitet dabei Ihre Nachrichten, die Kontaktdaten, die Sie angeben, und technische Daten wie Ihre IP-Adresse und kann dafür Informationen in Ihrem Browser speichern. Anbieter ist die SuperX GmbH, Prenzlauer Allee 242–247, 10405 Berlin, Deutschland, die für uns als Auftragsverarbeiter tätig ist (Art 28 DSGVO).

Rechtsgrundlage: Ihre Einwilligung für das Laden des Chat-Fensters (§ 165 Abs 3 TKG 2021 i. V. m. Art 6 Abs 1 lit a DSGVO); Ihre Nachricht beantworten wir zur Vertragsanbahnung (Art 6 Abs 1 lit b DSGVO).

5. Behandlung: Anamnese und Fotos

a) Behandlungs- und Gesundheitsdaten (Anamnese)

Vor der ersten Behandlung erheben wir mittels Anamnesebogen Angaben zu Ihrer Gesundheit und Ihrem Hautzustand (z. B. Schwangerschaft, Hauterkrankungen, Allergien, Medikamenteneinnahme wie Aknemittel, kürzlich erfolgte Behandlungen), soweit diese für die sichere Durchführung der Behandlung erforderlich sind. Diese Gesundheitsdaten verarbeiten wir ausschließlich auf Grundlage Ihrer ausdrücklichen Einwilligung (Art 9 Abs 2 lit a DSGVO), die Sie im Anamnesebogen erteilen. Sie können diese Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen; ohne diese Angaben ist eine Behandlung jedoch aus Sicherheitsgründen nicht möglich.

Rechtsgrundlage: Einwilligung (Art 9 Abs 2 lit a DSGVO), berechtigtes Interesse an der Behandlungsdokumentation (Art 6 Abs 1 lit f DSGVO).

b) Fotos

Vorher-Nachher-Fotos werden ausschließlich mit Ihrer gesonderten, schriftlichen Einwilligung angefertigt und nur zu dem darin angegebenen Zweck verwendet. Eine Veröffentlichung (z. B. auf unserer Website oder auf Social Media) erfolgt nur mit Ihrer ausdrücklichen Zustimmung, die Sie jederzeit für die Zukunft widerrufen können.

Rechtsgrundlage: Einwilligung (Art 6 Abs 1 lit a, Art 9 Abs 2 lit a DSGVO).

6. Kauf, Gutscheine und Laser-Flat-Rate-Mitgliedschaft

Beim Kauf von Produkten oder Gutscheinen im Studio verarbeiten wir Ihre Bestell- und Zahlungsdaten zur Vertragsabwicklung sowie zur Erfüllung steuer- und unternehmensrechtlicher Aufbewahrungspflichten. Gutscheine online kaufen Sie im Gutschein-Shop von Phorest und bezahlen per Karte über PhorestPay (Punkt 4 c).

Die Laser-Flat-Rate-Mitgliedschaft schließen Sie über einen Zahlungslink von Stripe ab. Dabei verarbeitet die Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland, Ihre Zahlungsdaten (z. B. Name, E-Mail-Adresse, Kartendaten oder SEPA-Lastschriftmandat) für die Zahlungsabwicklung und zur Betrugsvorbeugung; eine Übermittlung an Stripe, Inc. in den USA ist dabei möglich (Punkt 11). Für die Zahlungsabwicklung ist Stripe selbst verantwortlich: https://stripe.com/at/privacy. Wir erhalten die Daten, die wir für die Mitgliedschaft brauchen (Name, Kontaktdaten, Tarif, Zahlungsstatus), aber keine vollständigen Kartendaten.

Rechtsgrundlage: Vertragserfüllung (Art 6 Abs 1 lit b DSGVO), rechtliche Verpflichtung (Art 6 Abs 1 lit c DSGVO), bei Stripe zusätzlich das berechtigte Interesse an der Betrugsvorbeugung (Art 6 Abs 1 lit f DSGVO).

7. Statistik: Google Tag Manager, Google Analytics und Microsoft Clarity

a) Google Tag Manager

Unsere Website lädt den Google Tag Manager der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, D04 E5W5, Irland. Er bindet die Dienste aus Punkt 7 und 8 ein und startet sie erst, wenn Sie im Cookie-Fenster zugestimmt haben. Der Tag Manager selbst setzt keine Cookies und wertet nichts aus; beim Laden wird jedoch Ihre IP-Adresse an Google übertragen, eine Übermittlung in die USA ist dabei möglich (Punkt 11).

Rechtsgrundlage: berechtigtes Interesse an einer geordneten Einbindung der Dienste und an der technischen Umsetzung Ihrer Cookie-Auswahl (Art 6 Abs 1 lit f DSGVO).

b) Google Analytics

Wenn Sie der Kategorie „Statistik“ zustimmen, nutzen wir Google Analytics 4 der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, D04 E5W5, Irland, um zu verstehen, wie unsere Website genutzt wird, und sie zu verbessern. Erfasst werden z. B. aufgerufene Seiten, Verweildauer, ungefährer Standort (Land, Stadt), Gerät und Browser sowie Klicks auf „Termin buchen“, WhatsApp, Anrufen und Gutscheine, abgeschickte Formulare (ohne deren Inhalt) und die Schritte im Hautquiz. Google Analytics speichert keine vollständigen IP-Adressen. Cookies: „_ga“ und „_ga_…“ (jeweils bis zu 2 Jahre). Die Daten werden nach höchstens 14 Monaten gelöscht; eine Übermittlung an Google LLC in den USA ist möglich (Punkt 11). Einzelheiten: https://policies.google.com/privacy.

Rechtsgrundlage: Ihre Einwilligung (§ 165 Abs 3 TKG 2021 i. V. m. Art 6 Abs 1 lit a DSGVO), jederzeit widerrufbar über „Cookie-Einstellungen“.

c) Microsoft Clarity

Wenn Sie der Kategorie „Statistik“ zustimmen, nutzen wir außerdem Microsoft Clarity der Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521, Irland. Clarity zeigt uns in Heatmaps und aufgezeichneten Sitzungen, wie Besucherinnen die Website bedienen – etwa wohin geklickt und wie weit gescrollt wird –, damit wir Fehler finden und die Bedienung verbessern. Eingaben in Formularfelder werden dabei maskiert. Cookies: „_clck“ (1 Jahr), „_clsk“ (1 Tag) und Cookies von Microsoft wie „MUID“ (1 Jahr). Aufzeichnungen löscht Microsoft nach 30 Tagen, Auswertungen nach 9 Monaten; eine Übermittlung an Microsoft Corporation in den USA ist möglich (Punkt 11). Einzelheiten: https://privacy.microsoft.com/de-de/privacystatement.

Rechtsgrundlage: Ihre Einwilligung (§ 165 Abs 3 TKG 2021 i. V. m. Art 6 Abs 1 lit a DSGVO).

8. Werbung: Google Ads, Meta und Klaviyo

Wir werben auf Google, Instagram und Facebook für unsere Behandlungen. Wenn Sie der Kategorie „Werbung“ zustimmen, messen wir, ob unsere Anzeigen zu Buchungen oder Anfragen führen, und können Ihnen unsere Angebote später erneut zeigen (Remarketing).

a) Google Ads

Wir nutzen Google Ads mit Conversion-Tracking der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, D04 E5W5, Irland. Kommen Sie über eine Anzeige auf unsere Website, wird festgehalten, ob Sie danach z. B. „Termin buchen“ anklicken, uns anrufen, per WhatsApp schreiben oder das Formular absenden; wir sehen davon nur zusammengefasste Zahlen. Für Remarketing kann Google Sie als Besucherin unserer Website wiedererkennen und Ihnen auf anderen Websites und Geräten unsere Anzeigen zeigen, etwa wenn Sie bei Google angemeldet sind. Cookies: „_gcl_au“ (90 Tage) und Werbe-Cookies von Google wie „IDE“ (bis zu 13 Monate). Eine Übermittlung an Google LLC in den USA ist möglich (Punkt 11). Ihre Werbeeinstellungen bei Google: https://adssettings.google.com.

Rechtsgrundlage: Ihre Einwilligung (§ 165 Abs 3 TKG 2021 i. V. m. Art 6 Abs 1 lit a DSGVO).

b) Meta-Pixel und Conversions API (Instagram, Facebook)

Wir nutzen das Meta-Pixel der Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland. Es erfasst pseudonym, welche Seiten Sie aufrufen und ob Sie z. B. einen Termin buchen, uns kontaktieren, das Formular absenden, den Newsletter abonnieren oder einen Gutschein kaufen möchten. Damit messen wir die Wirkung unserer Anzeigen auf Instagram und Facebook, bilden Zielgruppen (z. B. Besucherinnen unserer Website oder ihnen ähnliche Personen) und zeigen passende Werbung. Sind Sie bei Instagram oder Facebook angemeldet, kann Meta diese Daten Ihrem Konto zuordnen.

Wenn Sie eingewilligt haben, können wir dieselben Ereignisse zusätzlich direkt von unserem Server an Meta übermitteln (Conversions API), damit sie auch bei Werbeblockern oder Browser-Einschränkungen gezählt werden; eine gemeinsame Ereignis-Kennung verhindert, dass etwas doppelt zählt. Angaben wie E-Mail-Adresse oder Telefonnummer werden dabei nur verschlüsselt (gehasht) übermittelt.

Cookies: „_fbp“ und „_fbc“ (jeweils 90 Tage). Für die Erhebung der Daten auf unserer Website und ihre Übermittlung an Meta sind wir mit Meta gemeinsam verantwortlich (Art 26 DSGVO); die Vereinbarung dazu: https://www.facebook.com/legal/controller_addendum. Für die weitere Verarbeitung ist Meta allein verantwortlich: https://www.facebook.com/privacy/policy. Eine Übermittlung an Meta Platforms, Inc. in den USA ist möglich (Punkt 11). Ihre Werbeeinstellungen: https://www.facebook.com/adpreferences.

Rechtsgrundlage: Ihre Einwilligung (§ 165 Abs 3 TKG 2021 i. V. m. Art 6 Abs 1 lit a DSGVO).

c) Klaviyo (Anmeldeformulare)

Wenn Sie der Kategorie „Werbung“ zustimmen, laden wir zusätzlich das Skript von Klaviyo. Es erkennt Sie nach einer Newsletter-Anmeldung bei weiteren Besuchen wieder, damit wir Ihnen passende Inhalte schicken können, und kann Formulare von Klaviyo anzeigen. Cookie: „__kla_id“ (2 Jahre). Mehr zu Klaviyo unter Punkt 9 a.

Rechtsgrundlage: Ihre Einwilligung (§ 165 Abs 3 TKG 2021 i. V. m. Art 6 Abs 1 lit a DSGVO).

9. Newsletter und werbliche Nachrichten

a) Newsletter (Klaviyo)

Wenn Sie unseren Newsletter abonnieren – über das Anmeldefeld „Beauty List“ am Ende jeder Seite oder das Häkchen im Formular „Welcome Special“ (Punkt 4 b) –, schicken wir Ihnen per E-Mail Angebote, Aktionen und Neuigkeiten aus der AFACIAL Skin Bar, beim Anmeldefeld zum Start einen Gutschein. Dafür brauchen wir Ihre E-Mail-Adresse. Ihre Angaben übermitteln wir direkt von unserem Server an Klaviyo, sobald Sie das Formular absenden. Die Anmeldung über das Anmeldefeld bestätigen Sie über einen Link in einer E-Mail (Double-Opt-in); Zeitpunkt und Herkunft der Anmeldung und der Bestätigung werden als Nachweis gespeichert. Wir sehen, ob Newsletter geöffnet und Links angeklickt werden, um sie zu verbessern.

Den Newsletter versenden wir mit Klaviyo, Inc., 125 Summer Street, Floor 6, Boston, MA 02111, USA, die für uns als Auftragsverarbeiter tätig ist (Art 28 DSGVO). Klaviyo ist nach dem EU-US Data Privacy Framework zertifiziert; ergänzend gelten EU-Standardvertragsklauseln (Punkt 11).

Rechtsgrundlage: Ihre Einwilligung (Art 6 Abs 1 lit a DSGVO, § 174 TKG 2021). Sie können den Newsletter jederzeit kostenlos abbestellen – über den Link in jeder E-Mail oder per Nachricht an termin@afacial.at. Danach erhalten Sie keine Newsletter mehr; dass Sie abgemeldet sind, speichern wir, damit das so bleibt.

b) Werbliche Kommunikation an Bestandskunden

Wenn Sie bei uns eine Behandlung gebucht oder ein Produkt bzw. einen Gutschein erworben haben und uns dabei Ihre Kontaktdaten bekannt gegeben haben, verwenden wir diese für einen Zeitraum von 6 Monaten ab dem letzten Termin bzw. Kauf, um Sie über eigene, ähnliche Leistungen und Angebote unseres Studios zu informieren (z. B. Terminerinnerungen, Aktionen, neue Behandlungen).

Rechtsgrundlage: berechtigtes Interesse an Direktwerbung gegenüber Bestandskunden (Art 6 Abs 1 lit f DSGVO, Erwägungsgrund 47) i. V. m. § 174 Abs 4 TKG 2021.

Widerspruchsrecht: Sie können dieser Verwendung jederzeit kostenlos widersprechen, in jeder erhaltenen Nachricht oder formlos per E-Mail an termin@afacial.at. Gesundheitsdaten werden für werbliche Zwecke nicht verwendet.

c) Werbliche Kommunikation an Interessenten (Einwilligung)

Wenn Sie bei der Online-Buchung, im Studio oder in einem Formular ausdrücklich in den Erhalt werblicher Informationen einwilligen, verwenden wir Ihre Kontaktdaten für einen Zeitraum von 6 Monaten ab Erteilung der Einwilligung, um Sie per E-Mail, SMS oder WhatsApp über Angebote, Aktionen und Leistungen zu informieren. Werden Sie zwischenzeitlich Kundin oder Kunde, gilt Punkt 9 b.

Rechtsgrundlage: Ihre Einwilligung (Art 6 Abs 1 lit a DSGVO). Die Einwilligung ist freiwillig; die Bearbeitung Ihrer Anfrage ist nicht davon abhängig. Sie können sie jederzeit kostenlos mit Wirkung für die Zukunft widerrufen, in jeder Nachricht oder per E-Mail an termin@afacial.at.

10. Video, Karten, Social Media und Schriften

a) Video (YouTube)

Das Video auf unserer Startseite liegt bei YouTube (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, D04 E5W5, Irland). Es wird erst geladen, wenn Sie auf „Video ansehen“ klicken – vorher besteht keine Verbindung zu YouTube. Nach dem Klick lädt der Player über youtube-nocookie.com; dabei erhält Google Ihre IP-Adresse und kann Informationen in Ihrem Browser speichern, eine Übermittlung in die USA ist möglich (Punkt 11).

Rechtsgrundlage: Ihre Einwilligung durch den Klick auf „Video ansehen“ (§ 165 Abs 3 TKG 2021 i. V. m. Art 6 Abs 1 lit a DSGVO).

b) Google Maps

Links wie „Route planen“ öffnen Google Maps. Erst mit dem Klick werden Daten an Google übertragen; ab dann gilt die Datenschutzerklärung von Google: https://policies.google.com/privacy.

c) Social Media

Wir betreiben Profile auf sozialen Netzwerken (z. B. Instagram, Facebook). Auf unserer Website verlinken wir nur dorthin; Social-Media-Plugins, die schon beim Laden der Seite Daten übertragen, setzen wir nicht ein. Beim Besuch unserer Profile gelten die Datenschutzbestimmungen des jeweiligen Anbieters. Soweit wir gemeinsam mit dem Anbieter für die Verarbeitung verantwortlich sind (z. B. Seiten-Insights), beruht die Verarbeitung auf unserem berechtigten Interesse an der Öffentlichkeitsarbeit (Art 6 Abs 1 lit f DSGVO).

d) Schriften

Die Schriften unserer Website liegen auf unserem eigenen Server. Beim Laden werden keine Daten an Schriften-Anbieter wie Google Fonts übertragen.

11. Übermittlung in Drittländer

Einige Anbieter (Google, Meta, Microsoft, Klaviyo, Stripe) verarbeiten Daten auch in den USA. Für Unternehmen, die nach dem EU-US Data Privacy Framework zertifiziert sind – das trifft auf diese Anbieter zu –, hat die EU-Kommission am 10.07.2023 ein angemessenes Datenschutzniveau festgestellt (Art 45 DSGVO). Ergänzend haben die Anbieter EU-Standardvertragsklauseln abgeschlossen (Art 46 Abs 2 lit c DSGVO). Für das Vereinigte Königreich (CookieYes) besteht ebenfalls ein Angemessenheitsbeschluss der EU-Kommission (Art 45 DSGVO).

12. Empfänger der Daten

Wir geben Ihre Daten nur weiter, soweit dies für die genannten Zwecke nötig ist oder das Gesetz es verlangt. Empfänger sind die oben genannten Dienstleister – OVH (Hosting), CookieYes (Cookie-Fenster und Einwilligungsnachweis), Phorest (Buchung, Gutscheine und Online-Zahlungen), Superchat (Chat), Klaviyo (Newsletter), Google, Meta und Microsoft (Statistik und Werbung, nur mit Einwilligung), Stripe (Zahlungen) –, außerdem Steuerberatung sowie Behörden im Rahmen gesetzlicher Pflichten. Soweit Dienstleister für uns als Auftragsverarbeiter tätig sind, bestehen Verträge gemäß Art 28 DSGVO. Wir verkaufen Ihre Daten nicht.

13. Speicherdauer

Termin- und Kontaktdaten: für die Dauer der Kundenbeziehung
Anfragen über das Formular, per E-Mail oder Chat: 6 Monate, sofern daraus kein Termin oder Vertrag entsteht
Kontaktdaten für werbliche Kommunikation: 6 Monate ab letztem Termin/Kauf (Punkt 9 b) bzw. ab Einwilligung (Punkt 9 c)
Newsletter: bis zur Abmeldung
Buchhaltungsrelevante Daten (Rechnungen, Zahlungen, SEPA): 7 Jahre gemäß § 132 BAO
Anamnese- und Behandlungsdokumentation: für die Dauer der Kundenbeziehung sowie darüber hinaus, solange dies zur Wahrung rechtlicher Ansprüche erforderlich ist (in der Regel 3 Jahre nach der letzten Behandlung)
Statistik: Google Analytics höchstens 14 Monate, Microsoft Clarity 30 Tage (Aufzeichnungen) bzw. 9 Monate (Auswertungen)
Cookies: wie bei den einzelnen Diensten angegeben (Punkte 3, 7 und 8)
Daten auf Grundlage einer Einwilligung: bis zum Widerruf

14. Ihre Rechte

Ihnen stehen die Rechte auf Auskunft (Art 15 DSGVO), Berichtigung (Art 16), Löschung (Art 17), Einschränkung (Art 18), Datenübertragbarkeit (Art 20) und Widerspruch (Art 21) zu. Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen, Einwilligungen für Cookies über „Cookie-Einstellungen“ am Ende jeder Seite.

Zur Ausübung Ihrer Rechte genügt eine formlose Mitteilung an: termin@afacial.at

Wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer Daten gegen das Datenschutzrecht verstößt, können Sie sich bei der Österreichischen Datenschutzbehörde beschweren: Barichgasse 40–42, 1030 Wien, www.dsb.gv.at

15. Keine automatisierte Entscheidungsfindung

Wir treffen keine automatisierten Entscheidungen einschließlich Profiling (Art 22 DSGVO). Bei der Werbung (Punkt 8) werten Google und Meta Ihr Nutzungsverhalten pseudonym aus, um Anzeigen auszuwählen; das hat für Sie keine rechtliche oder ähnlich erhebliche Wirkung.

16. Datensicherheit

Wir treffen angemessene technische und organisatorische Maßnahmen, um Ihre Daten vor Verlust, Missbrauch und unbefugtem Zugriff zu schützen. Unsere Website wird über eine verschlüsselte Verbindung (SSL/TLS) ausgeliefert.

17. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, wenn sich die Rechtslage oder unsere Datenverarbeitung ändert. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.