Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung ist: JustInVentures GmbH, Pfarrer-Brendel-Platz 7, 97274 Leinach, Betriebsstätte: Theresienstraße 152, 80333 München. E-Mail: hello@boosterlounge.com, Telefon/WhatsApp: +49 177 5201612. Ein Datenschutzbeauftragter ist gesetzlich nicht erforderlich und wurde nicht bestellt.

2. Hosting und Server-Logfiles

Unsere Website wird bei Vercel Inc. gehostet. Beim Aufruf werden automatisch Zugriffsdaten (IP-Adresse, Datum/Uhrzeit, abgerufene Seite, Browser-/Gerätedaten) in Server-Logfiles verarbeitet. Rechtsgrundlage ist unser berechtigtes Interesse an einer sicheren und stabilen Bereitstellung (Art. 6 Abs. 1 lit. f DSGVO). Vercel ist als Auftragsverarbeiter tätig; ein Auftragsverarbeitungsvertrag besteht.

3. Cookies und Einwilligung

Technisch notwendige Cookies setzen wir auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO ein. Alle nicht notwendigen Verarbeitungen (insbesondere die Reichweitenmessung unter Ziffer 4) finden erst nach Ihrer ausdrücklichen Einwilligung über unser Einwilligungsbanner statt (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.

Die Einwilligung speichern wir mit Zeitpunkt und der Fassung, über die aufgeklärt wurde. Nach zwölf Monaten fragen wir erneut; ändert sich, worüber wir informieren, ebenfalls. Ein Widerruf wirkt für die Zukunft und lässt die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung unberührt (Art. 7 Abs. 3 S. 3 DSGVO). Beim Widerruf löschen wir zusätzlich alle Einträge in Ihrem Endgerät, die erst durch die Einwilligung entstanden sind; bereits erfasste Messzeilen bleiben bis zum Ablauf der in Ziffer 18 genannten Fristen.

Wir laden auf dieser Website KEINE Inhalte, Schriften, Karten, Videos oder Werkzeuge von Fremd-Servern. Alles, was Ihr Browser abruft, kommt von unserer eigenen Adresse. Die vollständige Übersicht dessen, was in Ihrem Endgerät gespeichert oder gelesen wird — Bezeichnung, Form, Zweck und Dauer — steht hier:

4. Reichweitenmessung (eigene Messung, ohne Drittanbieter)

Für die Reichweitenmessung setzen wir KEINE Dienste Dritter ein. Insbesondere sind Google Analytics, der Google Tag Manager und Analyse- oder Marketing-Werkzeuge von Meta (Facebook-Pixel, Conversions-API) auf dieser Website nicht eingebunden — weder vor noch nach einer Einwilligung. Es entsteht dadurch auch keine gemeinsame Verantwortlichkeit und keine Übermittlung in ein Drittland. Sollten wir künftig einen solchen Dienst einsetzen, holen wir dafür vorher eine neue, gesonderte Einwilligung ein und aktualisieren diese Erklärung; eine bereits erteilte Einwilligung deckt einen solchen Einsatz ausdrücklich nicht.

Zusätzlich führen wir nach Ihrer Einwilligung eine eigene, erstanbieter-Reichweitenmessung durch. Dabei wird KEIN Dienst eines Dritten geladen und nichts an Dritte übermittelt; die Daten bleiben in unserer eigenen Datenbank (Supabase, siehe Ziffer 16). Verarbeitet werden: die aufgerufene Seite (als Seitentyp ohne Buchungsnummern, Belegnummern oder Zugangs-Links), die Sprache, eine Geräteklasse (Handy, Tablet, Computer, Fernseher), die auf 20 Pixel gerundete Fensterbreite, das Land (aus der IP-Adresse abgeleitet, die IP-Adresse selbst wird dabei NICHT gespeichert), die verweisende Internet-Domain (nur die Domain, nie die vollständige Adresse), die Kampagnen-Kennungen aus dem Link (utm_source, utm_medium, utm_campaign, utm_content) sowie die Angabe, OB die aufgerufene Adresse eine Werbe-Klick-Kennung enthielt (etwa gclid oder fbclid) — der WERT dieser Kennung wird ausdrücklich NICHT gespeichert, weil er eine Kennung der jeweiligen Werbeplattform ist, die Verweildauer und Scrolltiefe je Seite, erreichte Schritte in Buchungs- und Kaufstrecken, das Öffnen und die Lesedauer unserer Informations-Fenster (Wirkung, Ablauf und Inhaltsstoffe der einzelnen Boosts) sowie technische Ladezeiten. Zur Zusammenfassung eines Besuchs speichern wir eine im Browser erzeugte Zufallskennung im Sitzungsspeicher (sessionStorage, Schlüssel „bl-visit“); sie enthält keine Angaben zu Ihrer Person, wird beim Schließen des Tabs verworfen und beim Widerruf der Einwilligung sofort gelöscht. Es werden keine Profile gebildet und keine Werbe-Zielgruppen erzeugt. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG); Sie können sie jederzeit über das Einwilligungsbanner widerrufen. Sie entscheiden dabei EINZELN über drei Zwecke, und jeder wirkt für sich: „Reichweite“ (welche Seite, Geräteklasse, Sprache, Land, Herkunft), „Nutzung“ (Verweildauer, Scrolltiefe, erreichte Schritte, Lesedauer der Informations-Fenster) und „Ladezeit“ (technische Ladezeiten). Was Sie nicht erlauben, verlässt Ihren Browser nicht. Die Einzeldaten löschen wir nach 90 Tagen (siehe Ziffer 18).

4a. Abstimmung über künftige Boosts

Auf der Website können Sie angeben, welche noch nicht angebotenen Boosts Sie sich wünschen („Daumen hoch“). Damit dieselbe Stimme nicht mehrfach zählt, erzeugt Ihr Browser dafür eine Zufallskennung und legt sie in Ihrem Endgerät ab (Web-Speicher, Bezeichnung „bl-boost-voter“; zusätzlich merkt „bl-boost-votes“, welche Karten Sie auf diesem Gerät gewählt haben). An uns übermittelt wird nicht diese Kennung selbst, sondern ein daraus mit einem geheimen Zusatz berechneter, nicht umkehrbarer Prüfwert. Dieser Prüfwert lässt sich nicht auf Ihre Person zurückführen; er dient ausschließlich dazu, eine zweite Stimme desselben Geräts zu erkennen.

Zusätzlich erfassen wir zu jeder Karte anonyme Nutzungszahlen (wie oft sie angezeigt, geöffnet und gelesen wurde, die Lesedauer sowie ob eine Stimme abgegeben oder zurückgenommen wurde). Diese Zeilen enthalten KEINE Kennung — auch nicht den Prüfwert; sie sind nicht mit Ihrer Stimme verknüpfbar. Zweck ist die Entscheidung, welche Boosts wir ins Angebot aufnehmen.

Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG); sie ist genau die Einwilligung, die Sie im Banner unter „Boost-Abstimmung“ erteilen — ein eigener Zweck, den Sie unabhängig von der Reichweitenmessung an- und abwählen können. Widerrufen Sie sie, löschen wir die beiden Einträge in Ihrem Endgerät sofort. Die Stimmen selbst löschen wir nach 12 Monaten, die anonymen Nutzungszahlen nach 90 Tagen und freie Wunschtexte (siehe Ziffer 9) nach 24 Monaten.

5. Terminbuchung

Für Buchungen nutzen wir das Buchungssystem SimplyBook.me. Verarbeitet werden die für die Terminvereinbarung erforderlichen Daten (Name, Kontaktdaten, gewählte Leistung, Termin). Rechtsgrundlage ist die Vertragsanbahnung und -erfüllung (Art. 6 Abs. 1 lit. b DSGVO). SimplyBook.me ist Auftragsverarbeiter; ein Auftragsverarbeitungsvertrag besteht.

6. Gesundheitsdaten (Anamnese)

Vor einer Behandlung bieten wir Ihnen einen Anamnesebogen in Papierform an, dessen Ausfüllen freiwillig ist. Sofern Sie ihn ausfüllen, verarbeiten wir die darin enthaltenen Gesundheitsdaten (z. B. Vorerkrankungen, Medikamente, Schwangerschaft) ausschließlich zum Zweck der sicheren Durchführung der Behandlung. Rechtsgrundlage ist Ihre ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO). Die Bögen werden ausschließlich in Papierform in unseren Geschäftsräumen verschlossen aufbewahrt und sind nur dem behandelnden Fachpersonal sowie unseren Heilpraktikern zugänglich. Die Aufbewahrung erfolgt für die Dauer von zehn Jahren in Anlehnung an die für Behandlungsdokumentation übliche Frist. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.

7. Wohlbefindens-Fragebogen

Vor einem Termin können wir Ihnen einen kurzen, freiwilligen Wohlbefindens-Fragebogen anbieten (z. B. per SMS, E-Mail oder WhatsApp). Dieser dient ausschließlich einem unverbindlichen Stimmungs- bzw. Wohlbefindensbild (z. B. Fragen zu Müdigkeit, Arbeitsbelastung oder Konzentration) und ist ausdrücklich nicht auf eine medizinische Diagnose oder Beratung gerichtet. Es werden hierüber keine Gesundheitsdaten im Sinne des Art. 9 DSGVO erhoben; insbesondere fragen wir hier nicht nach Vorerkrankungen, Allergien, Medikamenten oder einer Schwangerschaft. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); die Teilnahme ist freiwillig und kann ohne Nachteil verweigert werden. Bei Versand über WhatsApp (Meta Platforms Ireland Ltd.) ist eine Verarbeitung von Daten auch außerhalb der EU nicht ausgeschlossen. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.

8. Zahlung und Online-Käufe

Zahlungen werden über den Zahlungsdienstleister Stripe (Stripe Payments Europe Ltd.) abgewickelt. Dies umfasst sowohl die Hinterlegung eines Zahlungsmittels zur Absicherung von Buchungen als auch die Abwicklung von Online-Zahlungen, insbesondere bei Vorauszahlung einer Behandlung sowie beim Kauf von Gutscheinen, Booster Packs oder vergleichbaren Leistungen. Zur Abwicklung verarbeiten wir die hierfür erforderlichen Bestell- und Zahlungsdaten (z. B. gewählte Leistung, Betrag, Zahlungsstatus) und ordnen sie Ihrer Buchung bzw. Ihrem Kundenkonto zu. Eine Belastung des hinterlegten Zahlungsmittels für Ausfallpauschalen erfolgt nur nach Maßgabe unserer AGB. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) sowie unser berechtigtes Interesse an der Absicherung gegen Terminausfälle (Art. 6 Abs. 1 lit. f DSGVO). Stripe ist Auftragsverarbeiter; ein Auftragsverarbeitungsvertrag besteht.

Wählen Sie im Bezahlvorgang eine Zahlart eines dritten Anbieters, werden die für die Zahlung erforderlichen Daten (insbesondere Name, E-Mail-Adresse, Betrag und Bestellbezug) an diesen Anbieter übermittelt. Das betrifft PayPal (PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg), Klarna (Klarna Bank AB (publ), Schweden) sowie bei Apple Pay und Google Pay die Apple Inc. bzw. die Google Ireland Limited. Diese Anbieter verarbeiten die Daten für die Abwicklung der von Ihnen gewählten Zahlart als eigene Verantwortliche nach ihren jeweils eigenen Datenschutzbestimmungen; sie können dabei eigene Identitäts- und Betrugsprüfungen durchführen. Auf diese Verarbeitung haben wir keinen Einfluss. Rechtsgrundlage der Übermittlung ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Die Übermittlung findet nur statt, wenn Sie die jeweilige Zahlart aktiv auswählen.

Stellen wir Firmen oder Kooperationspartnern eine Rechnung, verarbeiten wir die dafür nötigen Angaben (Firma, Ansprechpartner, Anschrift, ggf. USt-IdNr. und E-Mail-Adresse) zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und aufgrund der umsatzsteuerlichen Rechnungspflicht (Art. 6 Abs. 1 lit. c DSGVO, § 14 UStG); sie unterliegen denselben Aufbewahrungsfristen wie Rechnungsbelege (Ziffer 18).

8a. Geschenkgutscheine und Guthaben

Beim Kauf eines Geschenkgutscheins verarbeiten wir die Angaben der Käuferin oder des Käufers (E-Mail-Adresse sowie die Zahlungsdaten nach Ziffer 8) und — je nach gewähltem Zustellweg — den Namen und die E-Mail-Adresse der beschenkten Person, eine optionale persönliche Nachricht und den gewünschten Zustelltag. Diese Angaben verwenden wir ausschließlich, um den Gutschein zu erstellen, zuzustellen und einzulösen. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO); für die Angaben zur beschenkten Person zusätzlich unser berechtigtes Interesse an der Zustellung des Geschenks (Art. 6 Abs. 1 lit. f DSGVO). Der Gutschein-Code wird in unserer Datenbank nicht im Klartext, sondern als nicht umkehrbarer Prüfwert gespeichert.

Damit ein Ihnen zugestellter Gutschein in Ihrem Kundenkonto sichtbar ist, gleichen wir beim Anmelden bzw. beim Aufruf Ihres Kundenkontos Ihre bestätigte E-Mail-Adresse einmalig mit offenen Gutschein-Zustellungen ab und ordnen einen an diese Adresse zugestellten Gutschein automatisch Ihrem Konto zu. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Die Käuferin oder der Käufer eines verschenkten Gutscheins sieht nach der Zustellung bzw. nach der Zuordnung durch die beschenkte Person nur noch den Bestell- und Zustellstatus, nicht den aktuellen Restwert und nicht das Einlöseverhalten.

Die personenbezogenen Angaben auf dem Gutschein (Name, E-Mail-Adresse, persönliche Nachricht) entfernen wir 90 Tage nach Ablauf des Gutscheins. Die Einlösungshistorie bleibt ohne diese Angaben als Abrechnungsgrundlage erhalten (Ziffer 18).

Gelegentlich verschenken wir selbst Gutscheine, etwa als Gewinn bei einem Gewinnspiel oder aus Kulanz. Dann verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse und gegebenenfalls eine persönliche Nachricht ausschließlich, um Ihnen den Gutschein zuzustellen und ihn einzulösen; ein Kaufvertrag und damit ein Beleg oder ein Widerrufsrecht entstehen dabei nicht. Rechtsgrundlage ist unser berechtigtes Interesse an der Durchführung der Aktion (Art. 6 Abs. 1 lit. f DSGVO); für die Einlösung und die Löschung Ihrer Angaben 90 Tage nach Ablauf gelten die vorstehenden Absätze dieser Ziffer entsprechend.

8b. Rabattcodes (Aktionscodes)

Lösen Sie bei einer Buchung einen Rabattcode ein, speichern wir zu jedem betroffenen Termin den festgeschriebenen Rabattbetrag, die Buchungsnummer und eine Vorgangs-Klammer (sie verbindet die Termine eines Buchungsvorgangs). Anstelle Ihrer E-Mail-Adresse speichern wir eine pseudonyme Kennung: einen mit einem geheimen Schlüssel berechneten, nicht umkehrbaren Prüfwert der bei der Buchung angegebenen E-Mail-Adresse. Aus diesem Prüfwert lässt sich die Adresse nicht zurückrechnen; eine Verknüpfung mit Ihrem Kundenkonto wird dabei nicht gespeichert.

Der festgeschriebene Rabattbetrag ist die Grundlage für Restzahlung, Rechnung, eine etwaige Ausfallgebühr und Erstattungen; Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Die pseudonyme Kennung setzt die Begrenzung der Einlösungen je Person durch und verhindert die Umgehung von Aktionsbedingungen; Rechtsgrundlage ist unser berechtigtes Interesse an der Missbrauchsvermeidung (Art. 6 Abs. 1 lit. f DSGVO) — sie ersetzt die Speicherung Ihrer E-Mail-Adresse im Klartext.

Bei einer Stornierung wird die Einlösung entwertet, aber nicht gelöscht; das Einlöse-Kontingent des Codes wird wieder frei. Die pseudonyme Kennung bleibt auch nach einer Kontolöschung bestehen, weil sich Einlösungsgrenzen sonst durch das Anlegen und Löschen von Konten beliebig oft umgehen ließen. Die Einlösungszeilen sind Bestandteil der Abrechnung und werden wie Rechnungs- und Zahlungsbelege aufbewahrt (Ziffer 18).

9. Kontaktaufnahme und Widerrufsfunktion

Über die Kontaktformulare auf unserer Website (allgemeine Anfragen, Anfragen zu Zusammenarbeit und Franchise sowie Anfragen für Boost at Home) verarbeiten wir die von Ihnen gemachten Angaben zur Bearbeitung Ihrer Anfrage. Je nach Formular sind dies Ihr Name, Ihre E-Mail-Adresse, Ihre Telefonnummer, Ihre Adresse, ein gewünschter Termin sowie der Inhalt Ihrer Nachricht. Die Benachrichtigung an uns versenden wir über unseren transaktionalen Dienstleister (siehe Ziffer 11). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage auf den Abschluss oder die Durchführung eines Vertrages gerichtet ist, im Übrigen Art. 6 Abs. 1 lit. f DSGVO aufgrund unseres berechtigten Interesses an der Beantwortung von Anfragen.

Wenn Sie uns telefonisch kontaktieren, verarbeiten wir die Angaben, die Sie uns im Gespräch mitteilen, zu denselben Zwecken und auf derselben Rechtsgrundlage.

Wenn Sie uns über WhatsApp kontaktieren, verarbeitet Meta Platforms Ireland Ltd. Ihre Nachricht und Ihre Telefonnummer; eine Verarbeitung auch in den USA ist nicht ausgeschlossen. Sofern Sie im Anschluss an eine Formularanfrage den WhatsApp-Button auf unserer Website nutzen, wird eine Nachricht vorbereitet, die Ihren Vor- und Nachnamen enthält, damit wir Ihre Nachricht Ihrer Anfrage zuordnen können. Weitere Angaben aus dem Formular werden dabei nicht an WhatsApp übertragen. Sie können den vorbereiteten Text vor dem Absenden ändern oder löschen. Die Nutzung von WhatsApp ist freiwillig; Sie erreichen uns ebenso über unsere Kontaktformulare und telefonisch.

Bitte übermitteln Sie uns über WhatsApp keine Gesundheitsdaten oder sonstigen sensiblen Informationen. Gesundheitsbezogene Angaben besprechen wir mit Ihnen persönlich vor Ort.

Über die auf unserer Website bereitgestellte elektronische Widerrufsfunktion verarbeiten wir die von Ihnen gemachten Angaben zur Bearbeitung und Bestätigung Ihres Widerrufs und führen zum Nachweis des Zugangs ein Widerrufs-Journal (Art. 6 Abs. 1 lit. b und lit. c DSGVO). Buchen Sie einen Termin aus einem Booster-Pack-Guthaben, speichern wir außerdem zum Nachweis den Zeitpunkt und die Fassung Ihres ausdrücklichen Verlangens, dass die Leistung vor Ablauf der Widerrufsfrist beginnt (Art. 6 Abs. 1 lit. b und lit. c DSGVO). Beide Nachweise löschen wir nach den in Ziffer 18 genannten Fristen.

Zusätzlich zur E-Mail speichern wir zu jeder Anfrage eine Statistik-Zeile, die KEINE Angaben zu Ihrer Person enthält: die Art der Anfrage (allgemeine Frage, Zusammenarbeit, Boost @ Home, Boost-Wunsch), das gewählte Thema, bei Hausbesuchen die Vorlauf-Klasse (heute, kurzfristig, mit Vorlauf) und die ersten ZWEI Stellen der Postleitzahl, die Sprache, eine Geräteklasse sowie den Bearbeitungsstand. Weder Name, noch E-Mail-Adresse, Telefonnummer oder Anschrift werden dort gespeichert; diese Angaben stehen ausschließlich in der E-Mail. Zweck ist die Bearbeitung offener Anfragen und die Betriebsplanung, Rechtsgrundlage unser berechtigtes Interesse an einem funktionierenden Anfrage-Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Diese Zeilen löschen wir nach 24 Monaten (siehe Ziffer 18). Auch Ihr Nachrichtentext wird dort nicht gespeichert — mit EINER Ausnahme: beim Boost-Wunsch ist der von Ihnen eingegebene Wunschtext selbst das Anliegen und damit der Inhalt der Anfrage. Er wird deshalb gespeichert (höchstens 500 Zeichen), ohne jede Kontaktangabe und ohne Verknüpfung mit einer Kennung, und nach 24 Monaten gelöscht.

10. Newsletter

Sofern Sie sich für unseren Newsletter anmelden, verarbeiten wir Ihre E-Mail-Adresse auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Die Anmeldung ist über das Anmeldeformular auf unserer Website sowie über die Einstellungen in Ihrem Kundenkonto möglich.

Bei der Anmeldung über das Formular erfolgt die Anmeldung im Double-Opt-in-Verfahren. Die hierfür erforderliche Bestätigungsmail versenden wir über unseren transaktionalen Dienstleister (siehe Ziffer 11); sie enthält keinen Zählpixel und keine Weiterleitung zur Klickmessung. Bei der Aktivierung über Ihr Kundenkonto ist Ihre E-Mail-Adresse bereits durch die Anmeldung an Ihrem Konto bestätigt.

Zum Nachweis Ihrer Einwilligung speichern wir den Zeitpunkt der Einwilligung. Bei der Anmeldung über das Formular speichern wir zusätzlich Ihre IP-Adresse, Ihren Browsertyp sowie den Wortlaut der Einwilligungserklärung.

Ergänzend gilt seit dem 30. Juli 2026: Sie können die Einwilligung außerdem bei der Registrierung eines Kundenkontos erteilen. In diesem Fall nehmen wir Sie erst dann in den Verteiler auf, wenn Sie Ihre E-Mail-Adresse über den Bestätigungslink Ihres Kontos bestätigt haben; eine gesonderte Bestätigungsmail für den Newsletter erhalten Sie dann nicht.

Den Zeitpunkt, den Wortlaut der Einwilligungserklärung, Ihre IP-Adresse und Ihren Browsertyp (User-Agent) speichern wir bei allen genannten Anmeldewegen, also auch bei der Aktivierung über Ihr Kundenkonto und bei der Registrierung. Erfolgt die Einwilligung bei der Registrierung, beziehen sich IP-Adresse und Browsertyp auf die Bestätigung Ihrer E-Mail-Adresse. Diese Angaben dienen ausschließlich dem Nachweis nach Art. 7 Abs. 1 DSGVO.

Der Versand des Newsletters erfolgt über Brevo (Sendinblue GmbH, Berlin); die Verarbeitung erfolgt innerhalb der EU. Brevo wird ausschließlich für den Versand des Newsletters eingesetzt, nicht für den Versand transaktionaler E-Mails (siehe Ziffer 11). Brevo ist Auftragsverarbeiter; ein Auftragsverarbeitungsvertrag besteht.

Erfolgsmessung. Unsere Newsletter enthalten einen Zählpixel sowie Verlinkungen, die über die Server von Brevo geführt werden. Hierdurch können wir erkennen, ob und wann ein Newsletter geöffnet und welche Links darin angeklickt wurden. Diese Auswertung dient dazu, die Inhalte unseres Newsletters an den Interessen unserer Empfängerinnen und Empfänger auszurichten und dessen Gestaltung zu verbessern. Rechtsgrundlage hierfür ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO sowie, soweit hierbei auf Informationen in Ihrer Endeinrichtung zugegriffen wird, § 25 Abs. 1 TDDDG. Die Einwilligung in die Erfolgsmessung ist Bestandteil Ihrer Einwilligung in den Newsletterbezug; sie kann nicht gesondert widerrufen werden. Sie können der Erfolgsmessung dadurch widersprechen, dass Sie sich vom Newsletter abmelden. Viele E-Mail-Programme unterdrücken das Laden von Bildern zudem standardmäßig; in diesem Fall findet keine Öffnungsmessung statt.

Sie können sich jederzeit vom Newsletter abmelden, etwa über den Abmeldelink in jeder Newsletter-E-Mail oder über die Einstellungen in Ihrem Kundenkonto. Eine Abmeldung vom Newsletter hat keinen Einfluss auf den Empfang transaktionaler E-Mails, die zur Nutzung Ihres Kundenkontos und unserer Leistungen erforderlich sind.

11. Transaktionale E-Mails

Für den Versand transaktionaler E-Mails, also solcher E-Mails, die im Rahmen der Nutzung Ihres Kundenkontos und unserer Leistungen erforderlich sind (insbesondere Anmelde- und Bestätigungslinks, Registrierungsbestätigung, Zurücksetzen des Passworts, Versand und Bestätigung von Gutscheinen, Bestätigung einer Kontolöschung sowie Antworten auf Anfragen über unser Kontaktformular), setzen wir den Dienst Transactional Email der Scaleway SAS, 8 rue de la Ville-l'Évêque, 75008 Paris, Frankreich, ein.

Verarbeitet werden dabei die E-Mail-Adresse der empfangenden Person, gegebenenfalls deren Name, der Inhalt der jeweiligen E-Mail sowie technische Metadaten des Versands (insbesondere Zeitpunkt des Versands, Zustellstatus und Fehlermeldungen des empfangenden Servers). Diese Metadaten verwenden wir ausschließlich, um die Zustellbarkeit unserer E-Mails sicherzustellen und Zustellfehler zu erkennen.

Seit dem 23. August 2026 führt unser Zustell-Journal zu jeder versendeten E-Mail zusätzlich eine pseudonyme Empfänger-Kennung. Sie wird aus Ihrer E-Mail-Adresse mit einem Schlüssel berechnet, der ausschließlich auf unserem Datenbankserver gespeichert ist, und lässt sich ohne diesen Schlüssel nicht in die Adresse zurückrechnen; die E-Mail-Adresse selbst wird im Journal nicht gespeichert. Über diese Kennung können unsere Mitarbeitenden in der Kundenakte (Ziffer 13a) nachsehen, welche E-Mails wir Ihnen in den letzten 90 Tagen gesendet haben und ob sie zugestellt wurden — etwa wenn Sie uns fragen, warum eine Bestätigung nicht angekommen ist. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) sowie unser berechtigtes Interesse an einer zuverlässigen Zustellung und an der Beantwortung Ihrer Rückfragen (Art. 6 Abs. 1 lit. f DSGVO). Das Journal wird nach 90 Tagen gelöscht (Ziffer 18). Einträge, die zum Zeitpunkt einer Konto-Löschung jünger als 90 Tage sind, bleiben bis zum Ablauf dieser Frist bestehen; der letzte Eintrag belegt die Zustellung der Löschbestätigung.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, da der Versand dieser E-Mails zur Erfüllung des Vertrages beziehungsweise zur Durchführung vorvertraglicher Maßnahmen erforderlich ist, sowie Art. 6 Abs. 1 lit. f DSGVO aufgrund unseres berechtigten Interesses an einer zuverlässigen und sicheren Zustellung.

Die Verarbeitung erfolgt ausschließlich innerhalb der Europäischen Union; eine Übermittlung personenbezogener Daten in ein Drittland findet insoweit nicht statt. Scaleway ist Auftragsverarbeiter; ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO besteht.

Diese E-Mails enthalten keine Zählpixel und keine Weiterleitungen zur Klickmessung. Eine Messung von Öffnungs- oder Klickraten findet nicht statt. Ein Abbestellen ist bei diesen E-Mails nicht vorgesehen, da sie zur Durchführung des Vertragsverhältnisses erforderlich sind; hiervon unberührt bleibt Ihr Recht, Ihr Kundenkonto jederzeit zu löschen.

Ergänzend versenden wir eine Sicherheits-Benachrichtigung an die im Konto hinterlegte Adresse, sobald das Passwort dieses Kontos geändert wurde. Sie nennt den Zeitpunkt und den Weg der Änderung und enthält den Hinweis, wie Sie vorgehen, falls Sie die Änderung nicht selbst vorgenommen haben. Rechtsgrundlage ist insoweit Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Sicherheit der Verarbeitung nach Art. 32 DSGVO, also Ihre Möglichkeit, eine unbefugte Übernahme Ihres Kontos überhaupt zu bemerken. Aus demselben Grund lässt sich diese Benachrichtigung nicht abbestellen, solange das Konto besteht.

12. Kundenkonto und Anmeldung

Für die Verwaltung Ihrer Buchungen können Sie ein Kundenkonto anlegen. Die Authentifizierung und Verwaltung der Konten erfolgt über Supabase. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Supabase ist Auftragsverarbeiter; ein Auftragsverarbeitungsvertrag besteht.

Optional können Sie sich auch mit Ihrem Google-Konto anmelden („Mit Google fortfahren“). Wählen Sie diese Möglichkeit, werden die für die Anmeldung erforderlichen Daten zwischen Google (Google Ireland Ltd.) und uns ausgetauscht; insbesondere erhalten wir die mit Ihrem Google-Konto verknüpfte E-Mail-Adresse zur Einrichtung und Zuordnung Ihres Kundenkontos. Rechtsgrundlage ist die Durchführung des von Ihnen gewählten Anmeldeverfahrens und die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) bzw. Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Eine Übermittlung in die USA ist nicht ausgeschlossen; zur Rechtsgrundlage siehe Ziffer 17. Es gelten zusätzlich die Datenschutzbestimmungen von Google.

13. Treueprogramm

Sofern Sie an unserem Treueprogramm teilnehmen, verarbeiten wir die hierfür erforderlichen Daten, insbesondere die Zahl Ihrer vollständig bezahlten Behandlungen sowie den daraus resultierenden Anspruch auf eine kostenlose Leistung, und ordnen diese Ihrem Kundenkonto zu. Rechtsgrundlage ist die Durchführung des Treueprogramms im Rahmen des mit Ihnen bestehenden Vertragsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO) sowie unser berechtigtes Interesse an einer korrekten Abwicklung und an der Vermeidung von Missbrauch (Art. 6 Abs. 1 lit. f DSGVO). Wir speichern diese Daten für die Dauer Ihrer Teilnahme bzw. solange ein Anspruch bestehen kann.

13a. Kundenakte und interne Auswertung

Für den Betrieb der Lounge führen wir die zu Ihnen vorhandenen Angaben an einer Stelle zusammen: Ihre Termine aus dem Buchungssystem (Ziffer 5), Ihre Bestellungen und Belege (Ziffer 8), Ihre Gutscheine und Ihr Guthaben sowie, falls vorhanden, Ihr Kundenkonto (Ziffer 12). Verknüpft wird über Ihre E-Mail-Adresse. Zweck ist, eine Rückfrage vor Ort oder am Telefon beantworten zu können, ohne vier verschiedene Systeme durchsuchen zu müssen, und den Betrieb zu steuern (Auslastung, offene Belege, noch nicht eingelöste Guthaben). Rechtsgrundlage ist die Durchführung des mit Ihnen bestehenden Vertragsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO) sowie unser berechtigtes Interesse an einem geordneten Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Aus diesen Angaben berechnen wir zusätzlich, wie lange Ihr letzter Besuch zurückliegt, ob Sie regelmäßig kommen, und in welchem Umfang Gäste eines Monats später wiederkommen. Diese Auswertungen dienen der Planung und dazu, Sie gegebenenfalls an ein bestehendes Guthaben oder einen ablaufenden Gutschein zu erinnern. Rechtsgrundlage ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Es entsteht dabei KEINE automatisierte Entscheidung im Sinne des Art. 22 DSGVO: die Auswertung schlägt nichts vor und löst nichts aus, sie wird von Menschen gelesen. Sie können dieser Verarbeitung jederzeit nach Art. 21 Abs. 1 DSGVO widersprechen; eine formlose Nachricht genügt (Ziffer 19).

Diese Ansicht ist ausschließlich für unsere Mitarbeitenden im geschützten Verwaltungsbereich zugänglich und erfordert eine gesonderte Anmeldung. Umsatz-, Bilanz- und Verbindlichkeitszahlen sind zusätzlich der Geschäftsleitung vorbehalten. Es werden dort keine neuen Daten über Sie erhoben und keine zusätzlichen Daten gespeichert: die Ansicht liest, was ohnehin nach den Ziffern 5, 8, 11, 12 und 13 vorhanden ist, und es gelten die dort genannten Speicherdauern. Aus technischen Gründen werden die aus dem Buchungssystem gelesenen Angaben bis zu fünf Minuten auf unserem Server zwischengespeichert. Für die tägliche Arbeit können unsere Mitarbeitenden aus dieser Ansicht Listen als Datei herunterladen; solche Dateien enthalten die angezeigten Angaben, liegen dann auf einem Arbeitsgerät und werden gelöscht, sobald der Anlass entfallen ist.

14. Sicherheit und Missbrauchsabwehr

Zum Schutz unserer Website und unserer Systeme vor missbräuchlicher Nutzung (z. B. automatisierten Angriffen oder Spam) setzen wir technische Sicherheitsmaßnahmen ein. Hierbei können sicherheitsrelevante Ereignisse protokolliert werden, etwa eine gekürzte (anonymisierte) IP-Adresse, Angaben zum verwendeten Browser sowie die aufgerufene Funktion. Rechtsgrundlage ist unser berechtigtes Interesse an der Sicherheit und Integrität unseres Angebots (Art. 6 Abs. 1 lit. f DSGVO). Diese Sicherheitsprotokolle werden regelmäßig, spätestens nach 30 Tagen, gelöscht, soweit nicht im Einzelfall die Aufklärung eines konkreten Missbrauchs ausnahmsweise eine längere Speicherung erfordert.

Getrennt davon protokollieren wir jede Änderung, die unsere Mitarbeitenden im geschützten Verwaltungsbereich vornehmen, also etwa das Stornieren oder Verlegen eines Termins, das Anlegen einer Buchung, das Ändern einer internen Terminnotiz oder einer Einstellung. Festgehalten werden der Zeitpunkt, die handelnde Person mit ihrer dienstlichen E-Mail-Adresse, die Art der Änderung und eine Zusammenfassung; diese Zusammenfassung kann Ihren Namen und den betroffenen Termin enthalten. Zweck ist ausschließlich der Nachweis, wer eine Änderung veranlasst hat. Rechtsgrundlage ist unser berechtigtes Interesse an der Nachvollziehbarkeit von Änderungen an Ihren Buchungen sowie unsere Rechenschaftspflicht (Art. 6 Abs. 1 lit. f, Art. 5 Abs. 2 DSGVO). Nach zwölf Monaten entfernen wir Namen und Notiztexte aus diesen Einträgen; erhalten bleibt dann nur noch, wer wann welche Art von Änderung vorgenommen hat. Nach zehn Jahren löschen wir den Eintrag vollständig. Wir löschen das Protokoll bewusst nicht bereits bei einer Kontolöschung, weil ein Nachweis, der sich auf Zuruf selbst entfernen lässt, als Nachweis wertlos wäre (Art. 17 Abs. 3 lit. e DSGVO).

15. Social Media

Unsere Website enthält Verlinkungen zu unseren Profilen bei Instagram, TikTok und Facebook. Es handelt sich um einfache Links; eine Datenübermittlung an die jeweiligen Anbieter erfolgt erst, wenn Sie aktiv darauf klicken und die jeweilige Plattform aufrufen. Für die dortige Verarbeitung gelten die Datenschutzbestimmungen des jeweiligen Anbieters.

16. Empfänger und Auftragsverarbeitung

Mit den eingesetzten Dienstleistern bestehen, soweit erforderlich, Auftragsverarbeitungsverträge nach Art. 28 DSGVO. Das sind: Vercel (Hosting, Ziffer 2), Supabase (Datenbank und Kundenkonto, Ziffern 4 und 12), SimplyBook.me (Terminbuchung, Ziffer 5), Stripe (Zahlung, Ziffer 8), Scaleway (transaktionale E-Mails, Ziffer 11), Brevo (Versand des Newsletters, Ziffer 10) und Microsoft (Microsoft Ireland Operations Ltd.; unser Geschäftspostfach, in dem alle E-Mails verarbeitet werden, die Sie uns senden oder die wir über unsere Kontaktformulare erhalten). Google setzen wir im Übrigen ausschließlich für die Anmeldung mit einem Google-Konto ein (Ziffer 12; zur Zahlart Google Pay siehe Ziffer 8 und den nachstehenden Absatz), Meta ausschließlich im Rahmen der Kommunikation über WhatsApp (Ziffern 7 und 9). Für die Reichweitenmessung setzen wir keine Dienste Dritter ein; Google Analytics, der Google Tag Manager und Analyse- oder Marketing-Werkzeuge von Meta sind nicht eingebunden (Ziffer 4).

Anbieter der von Ihnen gewählten Zahlart (PayPal, Klarna, Apple, Google) sind demgegenüber eigene Verantwortliche und keine Auftragsverarbeiter; für sie gelten ihre eigenen Datenschutzbestimmungen (siehe Ziffer 8).

17. Datenübermittlung in Drittländer

Soweit Dienste personenbezogene Daten in Länder außerhalb der EU/des EWR (insbesondere die USA) übermitteln, erfolgt dies nur auf Grundlage eines Angemessenheitsbeschlusses (für zertifizierte US-Empfänger das EU-US Data Privacy Framework) und/oder geeigneter Garantien im Sinne des Art. 46 DSGVO, insbesondere der EU-Standardvertragsklauseln. Entfällt eine dieser Grundlagen, stützen wir die Übermittlung auf die jeweils verbleibende geeignete Grundlage.

18. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen bestehen. Rechnungs- und Zahlungsbelege bewahren wir aufgrund handels- und steuerrechtlicher Pflichten 10 Jahre auf (§ 147 AO, § 14b UStG, § 257 HGB); nach einer Konto-Löschung werden sie pseudonymisiert (Name und E-Mail werden entfernt) getrennt aufbewahrt und nach Ablauf der Frist gelöscht. Die Zuordnung eines aufbewahrten Belegs zu einer Person ist danach nur noch über ein Pseudonym möglich; Name, E-Mail und Telefonnummer werden mit der Löschung entfernt und nicht gesondert aufbewahrt. Anamnesedaten bewahren wir 10 Jahre auf. Sicherheitsprotokolle werden längstens nach 30 Tagen gelöscht (siehe Ziffer 14). Die Einzeldaten der Reichweitenmessung (Ziffer 4) löschen wir nach 90 Tagen, die Anfragen-Statistik-Zeilen ohne Kontaktangaben und freien Wunschtexte (Ziffer 9) nach 24 Monaten; das Zustell-Journal unserer E-Mails (Ziffer 11) wird nach 90 Tagen gelöscht. Für die Abstimmung über künftige Boosts (Ziffer 4a) gilt: die Stimmen löschen wir nach 12 Monaten, die anonymen Nutzungszahlen nach 90 Tagen. Alle diese Fristen laufen automatisch täglich ab; maßgeblich ist jeweils der Zeitpunkt der Erfassung.

Ergänzend gelten folgende Fristen: Die Einträge des Backoffice-Protokolls (Ziffer 14) verlieren nach zwölf Monaten Namen und Notiztexte und werden nach zehn Jahren gelöscht. Angaben zu einer hinterlegten Zahlungsabsicherung (Ziffer 8) verlieren Anschrift und Kartenmerkmale spätestens 400 Tage nach Erledigung des Vorgangs; ein von Ihnen hinterlegtes Zahlungsmittel wird 540 Tage nach der letzten Nutzung entfernt. Das Widerrufs-Journal und der Nachweis des ausdrücklichen Verlangens (Ziffer 9) werden drei Jahre ab dem Ende des Jahres ihrer Entstehung aufbewahrt und danach automatisch gelöscht. Die personenbezogenen Angaben auf Geschenkgutscheinen entfernen wir 90 Tage nach Ablauf des Gutscheins (Ziffer 8a); festgeschriebene Rabatt-Einlösungen (Ziffer 8b) bewahren wir als Bestandteil der Abrechnung wie Rechnungs- und Zahlungsbelege auf. Ohne Frist führen wir bewusst nur eine einzige Liste: die Sperrliste der E-Mail-Zustellung. Sie enthält Adressen, an die wir dauerhaft nicht mehr senden dürfen, etwa nach einer dauerhaften Unzustellbarkeit oder einer Beschwerde. Diese Liste zu löschen hieße, die Zustellung an genau diese Adressen wieder aufzunehmen; sie besteht ausschließlich, um NICHT zu senden. Für die im Buchungssystem (Ziffer 5) gespeicherten Termindaten nennen wir bewusst keine automatische Frist, weil wir sie dort nicht automatisiert löschen können; auf Ihr Verlangen löschen wir sie dort von Hand.

19. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch (Art. 21 DSGVO). Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO).

Zur Ausübung dieser Rechte genügt eine formlose Nachricht an hello@boosterlounge.com oder an die unter Ziffer 1 genannte Anschrift.

20. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig ist: Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.

21. Aktualität

Wir passen diese Datenschutzerklärung an, sobald sich die Datenverarbeitung ändert.

Einwilligung in die Verarbeitung von Gesundheitsdaten (Anamnesebogen)

Einwilligung in die Verarbeitung von Gesundheitsdaten: Ich willige ausdrücklich ein, dass die in diesem Bogen angegebenen Gesundheitsdaten zum Zweck der sicheren Durchführung der Behandlung erhoben, in Papierform für die Dauer von zehn Jahren gespeichert und ausschließlich dem behandelnden Fachpersonal sowie unseren Heilpraktikern zugänglich gemacht werden (Art. 9 Abs. 2 lit. a DSGVO). Diese Einwilligung ist freiwillig und kann jederzeit mit Wirkung für die Zukunft widerrufen werden; weitere Informationen enthält unsere Datenschutzerklärung.