Datenschutzerklärung

CBBDigital LLC, 30 N Gould St, Sheridan, WY 82801, USA; info@cbbdigital.us. Der Salon ist Verantwortlicher für Termin-, Kunden- und Personaldaten; CBBDigital ist weisungsgebundener Auftragsverarbeiter. Für eigene Geschäftskonten, Ansprechpartner, Authentifizierung, Abrechnung, Support und Plattformsicherheit ist CBBDigital eigenständiger Verantwortlicher. Maßgeblich ist die tatsächliche Tätigkeit.

Verarbeitet werden können Geschäfts-/Mitarbeiterkontakte, Rollen und Passwort-Hashes, Leistungen/Preise, Arbeitszeiten/Abwesenheiten, Kundenname/Telefon/optionale E-Mail, Leistung/Mitarbeiter, Terminzeit/Status, Betriebsnotizen, Beträge/Zahlungsarten und Berichte, Präferenzen, Prüf-/Zustell-/Sperrnachweise, Geräte-/Browser-/Sitzungs-/IP-Metadaten sowie Auftrags-, Rechnungs- und Vertragsnachweise. Anbindungen können Meta/WABA-/Telefonkennungen, geschützte Token und Kalenderverknüpfungen enthalten. Nicht nur OTP-Daten werden verarbeitet. Kartendaten werden bei Stripe eingegeben.

Eigene Verarbeitung beruht soweit anwendbar auf Vertragserforderlichkeit, rechtlichen Pflichten und abgewogenen berechtigten Interessen nach Artikel 6(1)(b), (c), (f) DSGVO/UK GDPR; erforderliche freiwillige Kanäle auf gesonderter Einwilligung. Datenschutzhinweise sind keine Pauschaleinwilligung. Der Salon bestimmt eigene Rechtsgrundlagen. Gesundheitsdaten, besondere Kategorien, Ausweiskopien und PAN/CVV gehören nicht in Standardfelder. Erkannte unerwünschte sensible Inhalte werden eingeschränkt und entfernt/anonymisiert; keine perfekte Filtergarantie.

Hetzner Online GmbH stellt das ausgewählte Hosting in Helsinki, Finnland. Cloudflare, Inc. stellt CDN/Netzwerkschutz, Google LLC Workspace geschäftliche E-Mail. Die einschlägigen Anbieter-Datenschutzbedingungen wurden über die Kontoprozesse angenommen und werden zugriffsbeschränkt archiviert. Öffentliche DPA-Links, Zwecke und Rollen stehen im Anbieterverzeichnis. Stripe handelt je nach Zahlungstätigkeit als Auftragsverarbeiter oder für Betrugsprävention/gesetzliche Zwecke eigenständig Verantwortlicher. Meta/WhatsApp und optionale Kalenderverbindungen unterliegen eigenen Bedingungen.

CBBDigital ist eine US-LLC; Hosting in Finnland schließt globale Anbieterprozesse und autorisierte grenzüberschreitende technische Zugriffe nicht aus. Je nach Anwendbarkeit werden DSGVO Kapitel V, UK GDPR, UK Data Protection Act 2018 und UK International Data Transfer Addendum (UK Addendum) sowie Schweizer DSG/FADP berücksichtigt. Soweit erforderlich, müssen Übermittlungsinstrumente vor Beginn der betreffenden Übermittlung mit richtigen Parteien, Modulen, vollständigen Anlagen, bindender Annahme und nötiger Transferprüfung/zusätzlichen Maßnahmen abgeschlossen werden. Keine DPF-Zertifizierung wird behauptet. Anbieter-DPAs erteilen keine pauschale Transfererlaubnis für jede Beziehung. Wenn Ihr Unternehmen in der Türkei (TR) ansässig ist: Drittlandübermittlungen über Finnland (Hetzner) und die USA (Cloudflare, Meta, Google, Stripe) erfolgen gemäß Art. 9 des türkischen Datenschutzgesetzes Nr. 6698 (KVKK Madde 9). Wenn Ihr Unternehmen in der Türkei (TR) ansässig ist: Drittlandübermittlungen über Finnland (Hetzner) und die USA (Cloudflare, Meta, Google, Stripe) erfolgen gemäß Art. 9 des türkischen Datenschutzgesetzes Nr. 6698 (KVKK Madde 9).

Eine EU-/UK-Vertretung wird nach Artikel 27 anhand territorialer Geltung und tatsächlicher Verarbeitung beurteilt. B2B-Status oder Auftragsverarbeitung allein befreien nicht; regelmäßige Verarbeitung ist nicht automatisch gelegentlich. Schweizer Vertretung wird gegebenenfalls nach Artikel 14 DSG geprüft. Ohne tatsächliches Mandat wird keine bestellte Vertretung behauptet. Kontakt: info@cbbdigital.us. Beschwerden sind bei zuständigen Behörden möglich: deutsche Datenschutzaufsicht, österreichische Datenschutzbehörde, UK Information Commissioner’s Office (ICO) oder Schweizer EDÖB/FDPIC.

Die Salonabonnements enthalten WhatsApp-Integration; tatsächlicher Versand erfordert betriebsbereiten Absender, passende Meta-Freigaben und gesondertes gültiges Empfänger-Opt-in. OTP belegt aktuellen Kanalzugriff, keine amtliche Identität oder allgemeine Einwilligung. Benachrichtigungen können ohne Terminabsage abgewählt werden. Kein SMS-Angebot. Eingehender Text wird nur zur Erkennung dokumentierter Stoppwörter flüchtig im Arbeitsspeicher verarbeitet und nicht im Webhook-Protokoll gespeichert; Ereigniskennung, Absender, Typ und Zeitpunkt sowie ausgehende Vorlagenparameter/Zustellzustände können gespeichert werden. Keine pauschale Ende-zu-Ende-Verschlüsselungszusage für alle Cloud-API-Verarbeitung. STOP, İPTAL, IPTAL, DURDUR, RET, UNSUBSCRIBE, ABMELDEN, STOPZETTEN, AFMELDEN, ARRET, ARRÊT, DESABONNER, DÉSABONNER. wa_id bezeichnet den Kanalabsender, nicht amtliche Identität oder allgemeine Einwilligung.

Zugriffssteuerung, geschützte Geheimnisse, TLS und Auditprotokolle unterstützen die Sicherheit. Vertrags-IP/User-Agent-Metadaten verfallen nach separaten 90-Tage-Regeln. Abgeschlossene Nachrichten-, Webhook-, Anbieter- und Kalenderprotokolle folgen der konfigurierten Frist (standardmäßig 90 Tage); Termine, Personaldaten, Einwilligungen, Rechnungen und Vertragsnachweise werden dadurch nicht automatisch gelöscht. Daten werden zweck- und gesetzesbezogen aufbewahrt und danach zur Löschung/Rückgabe geprüft. Neue verwaltete tägliche Backups werden nach einer 30-Tage-Rotation behandelt; die zwei neuesten gültigen Wiederherstellungskopien sowie dokumentierte rechtliche Aufbewahrungssperren bleiben erhalten. Frühere benannte Archive sind von dieser automatischen Rotation ausgenommen und werden gesondert auf Erforderlichkeit und Löschung geprüft. Der Zugriff ist beschränkt; ZIP-Komprimierung ist keine Verschlüsselung. Eine sofortige Löschung einzelner Datensätze innerhalb eines Archivs wird nicht zugesagt. Vor Wiederaufnahme der Verarbeitung müssen aktuelle Löschungen und Benachrichtigungswiderrufe erneut angewendet und geprüft werden; ein roher SQL-/ZIP-Restore führt dies nicht automatisch aus. Die Betriebsprotokollfrist ist zwischen 7 und 3650 Tagen konfigurierbar; Standard sind 90 Tage.

Je nach anwendbarem Recht bestehen Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch und Einwilligungswiderruf. Salonbezogene Anfragen an den Salon; eigene Verarbeitung an info@cbbdigital.us oder die Löschseite. DSGVO-/UK-GDPR-Anfragen werden unverzüglich, regelmäßig binnen eines Kalendermonats beantwortet; rechtmäßige Verlängerungen werden im ersten Monat erläutert. Prüfung erfolgt verhältnismäßig, ohne pauschale Ausweiskopienpflicht. Behördenanfragen werden auf Rechtmäßigkeit geprüft, minimiert und dokumentiert sowie gegebenenfalls angefochten.

Erforderliche Sitzungs-/Sicherheitsdaten unterstützen den Dienst. Optionale Analyse-/Marketing-Speicherung erfordert die jeweils gesonderte Wahl. Neue Verkäufe sind auf TR, TR, US, GB, DE, AT und CH begrenzt. Sprache und Länderzulassung sind getrennt; zwingendes Recht kann aufgrund tatsächlicher Verarbeitung und Betroffenenrechten weiterhin gelten.

Vertragsnachweise umfassen Text, SHA-256, Zeitpunkt und ein HMAC-Sitzungspseudonym (session pseudonym; kein dauerhafter Gerätefingerabdruck); rohe IP-/User-Agent-Metadaten verfallen nach 90 Tagen. Die 6-jährigen Prüfrichtlinie für vertragliche Ansprüche ist ein erster Prüfzeitpunkt, keine automatische Löschung oder universelle Höchstfrist. Aktive Verträge, konkrete Legal Holds und Anspruchsfristen werden individuell beurteilt. Verträge/Belege: https://cbbdigital.us/account/contracts.php.

Neue verwaltete tägliche Backups werden nach einer 30-Tage-Rotation behandelt; die zwei neuesten gültigen Wiederherstellungskopien sowie dokumentierte rechtliche Aufbewahrungssperren bleiben erhalten. Frühere benannte Archive sind von dieser automatischen Rotation ausgenommen und werden gesondert auf Erforderlichkeit und Löschung geprüft. Der Zugriff ist beschränkt; ZIP-Komprimierung ist keine Verschlüsselung. Eine sofortige Löschung einzelner Datensätze innerhalb eines Archivs wird nicht zugesagt. Vor Wiederaufnahme der Verarbeitung müssen aktuelle Löschungen und Benachrichtigungswiderrufe erneut angewendet und geprüft werden; ein roher SQL-/ZIP-Restore führt dies nicht automatisch aus.

Vollständige genaue Befehlsliste entsprechend dem Webhook: STOP, İPTAL, IPTAL, DURDUR, RET, UNSUBSCRIBE, ABMELDEN, STOPZETTEN, AFMELDEN, ARRET, ARRÊT, DESABONNER, DÉSABONNER. Groß-/Kleinschreibung und äußere Leerzeichen werden normalisiert. Nur der vollständige Befehl gilt; eingehender Text wird flüchtig geprüft und nicht im Webhook-Protokoll gespeichert.

Außerhalb der USA setzt die Online-Auftragsfreigabe zusätzlich die Prüfung der amtlichen Unternehmens-/Steuerregistrierung, der Unternehmensidentität und der Reverse-Charge-Anwendbarkeit für die konkrete Leistung voraus. Für EU-Kunden ist eine VIES-USt-Prüfung erforderlich, für Schweizer Kunden UID und aktiver MWST-Status, für UK-Kunden UK VAT oder geprüfte Unternehmens-/HMRC-Nachweise. UID oder CRN allein belegen keinen Steuerstatus und keine Reverse-Charge-Berechtigung. API-Fehler oder fehlende Nachweise führen zur Prüfung, niemals zur Zahlungsfreigabe. Ohne ausreichende Prüfung erfolgt kein Verkauf. Vorbereitungsmärkte müssen zusätzlich aktiviert werden. Land und USt-Nummer werden an den amtlichen EU-VIES-Dienst übermittelt; zurückgegebene Identität/Anschrift werden mit Vertragsdaten abgeglichen. Nachweisreferenzen, Prüfzeit, Ergebnis und Leistungsumfang werden zu Prüfzwecken unter Beachtung einschlägiger Rechnungs-/Vertragsaufbewahrungspflichten überprüft. Keine rohe UTR eingeben.