Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung ist: JustInVentures GmbH, Pfarrer-Brendel-Platz 7, 97274 Leinach, Betriebsstätte: Theresienstraße 152, 80333 München. E-Mail: hello@boosterlounge.com, Telefon/WhatsApp: +49 177 5201612. Ein Datenschutzbeauftragter ist gesetzlich nicht erforderlich und wurde nicht bestellt.

2. Hosting und Server-Logfiles

Unsere Website wird bei Vercel Inc. gehostet. Beim Aufruf werden automatisch Zugriffsdaten (IP-Adresse, Datum/Uhrzeit, abgerufene Seite, Browser-/Gerätedaten) in Server-Logfiles verarbeitet. Rechtsgrundlage ist unser berechtigtes Interesse an einer sicheren und stabilen Bereitstellung (Art. 6 Abs. 1 lit. f DSGVO). Vercel ist als Auftragsverarbeiter tätig; ein Auftragsverarbeitungsvertrag besteht.

3. Cookies und Einwilligung

Technisch notwendige Cookies setzen wir auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO ein. Alle nicht notwendigen Verarbeitungen (insbesondere die Reichweitenmessung unter Ziffer 4) finden erst nach Ihrer ausdrücklichen Einwilligung über unser Einwilligungsbanner statt (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.

Einwilligungspflichtig ist außerdem die Messung mit Google Analytics, Google Ads und dem Meta Pixel (Ziffer 4b). Die Einwilligung speichern wir mit Zeitpunkt und der Fassung, über die aufgeklärt wurde. Nach zwölf Monaten fragen wir erneut; ändert sich, worüber wir informieren, ebenfalls. Ein Widerruf wirkt für die Zukunft und lässt die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung unberührt (Art. 7 Abs. 3 S. 3 DSGVO). Beim Widerruf löschen wir zusätzlich alle Einträge in Ihrem Endgerät, die erst durch die Einwilligung entstanden sind; bereits erfasste Messzeilen bleiben bis zum Ablauf der in Ziffer 18 genannten Fristen. Was bereits an Google oder Meta übermittelt wurde, löscht der Widerruf nicht (Ziffer 4b).

Wir laden auf dieser Website keine Inhalte, Schriften, Karten oder Videos von fremden Servern. Die Skripte von Google und Meta ruft Ihr Browser nur ab, wenn Sie der Messung mit ihnen zustimmen (Ziffer 4b); alles andere kommt von unserer eigenen Adresse. Namen, Zwecke und Laufzeiten der Einträge von Google und Meta beruhen auf den Angaben der Anbieter und unseren Einstellungen. Nicht aufgeführt sind Cookies, die Google und Meta unter ihren eigenen Adressen (etwa google.com oder facebook.com) in Ihrem Browser führen; beim Aufruf ihrer Dienste können sie gelesen oder gesetzt werden, einsehen oder löschen können wir sie nicht. Die vollständige Übersicht dessen, was unter unserer Adresse in Ihrem Endgerät gespeichert oder gelesen wird, mit Bezeichnung, Form, Zweck und Dauer, steht hier:

4. Reichweitenmessung (eigene Messung, ohne Drittanbieter)

Nach Ihrer Einwilligung führen wir eine eigene Reichweitenmessung durch. Dabei wird KEIN Dienst eines Dritten geladen und nichts an Dritte übermittelt; die Daten bleiben in unserer eigenen Datenbank (Supabase, siehe Ziffer 16). Verarbeitet werden: die aufgerufene Seite (als Seitentyp ohne Buchungsnummern, Belegnummern oder Zugangs-Links), die Sprache, eine Geräteklasse (Handy, Tablet, Computer, Fernseher), die auf 20 Pixel gerundete Fensterbreite, das Land (aus der IP-Adresse abgeleitet, die IP-Adresse selbst wird dabei NICHT gespeichert), die verweisende Internet-Domain (nur die Domain, nie die vollständige Adresse), die Kampagnen-Kennungen aus dem Link (utm_source, utm_medium, utm_campaign, utm_content) sowie die Angabe, ob die aufgerufene Adresse eine Werbe-Klick-Kennung enthielt (etwa gclid oder fbclid; den Wert dieser Kennung speichern wir nicht, weil er eine Kennung der jeweiligen Werbeplattform ist), die Verweildauer und Scrolltiefe je Seite, erreichte Schritte in Buchungs- und Kaufstrecken, das Öffnen und die Lesedauer unserer Informations-Fenster (Wirkung, Ablauf und Inhaltsstoffe der einzelnen Boosts) sowie technische Ladezeiten. Zur Zusammenfassung eines Besuchs speichern wir eine im Browser erzeugte Zufallskennung im Sitzungsspeicher (sessionStorage, Schlüssel „bl-visit“); sie enthält keine Angaben zu Ihrer Person, wird beim Schließen des Tabs verworfen und beim Widerruf der Einwilligung sofort gelöscht. Aus dieser eigenen Messung bilden wir keine Profile und keine Werbe-Zielgruppen. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG); Sie können sie jederzeit über das Einwilligungsbanner widerrufen. Sie entscheiden dabei EINZELN über drei Zwecke, und jeder wirkt für sich: „Reichweite“ (welche Seite, Geräteklasse, Sprache, Land, Herkunft), „Nutzung“ (Verweildauer, Scrolltiefe, erreichte Schritte, Lesedauer der Informations-Fenster) und „Ladezeit“ (technische Ladezeiten). Was Sie nicht erlauben, verlässt Ihren Browser nicht. Die Einzeldaten löschen wir nach 90 Tagen (siehe Ziffer 18).

Davon getrennt ist die Messung mit Google Analytics, Google Ads und dem Meta Pixel: Über sie entscheiden Sie im Einwilligungsbanner gesondert, beschrieben ist sie in Ziffer 4b.

4a. Abstimmung über künftige Boosts (beendet)

Bis zum 30.09.2026 konnten Sie auf der Website angeben, welche noch nicht angebotenen Boosts Sie sich wünschen („Daumen hoch“). Diese Abstimmung ist beendet: Wir erheben dazu nichts mehr und legen dafür nichts mehr in Ihrem Endgerät ab. Die früher gesetzten Einträge „bl-boost-voter“ und „bl-boost-votes“ löscht die Website bei Ihrem nächsten Besuch.

Früher abgegebene Stimmen liegen bei uns nur als nicht umkehrbarer Prüfwert ohne Bezug zu Ihrer Person, die Nutzungszahlen der Karten ohne jede Kennung. Wir löschen sie nach den bisherigen Fristen: Stimmen nach 12 Monaten, Nutzungszahlen nach 90 Tagen, freie Wunschtexte (siehe Ziffer 9) nach 24 Monaten. Rechtsgrundlage war Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG).

4b. Google Analytics, Google Ads und Meta Pixel

Mit Ihrer Einwilligung messen wir außerdem mit Diensten von Google und Meta, wie unsere Website genutzt wird und ob unsere Anzeigen zu Käufen führen. Darüber entscheiden Sie im Einwilligungsbanner einzeln für Google Analytics, Google Ads und das Meta Pixel; ohne Einwilligung lädt Ihr Browser keinen dieser Dienste. Welche dieser Dienste wir gerade einsetzen, zeigt das Einwilligungsbanner; einen Dienst, den es nicht zur Wahl stellt, laden wir nicht. Gemessen wird nur auf unseren Angebots- und Informationsseiten, auf der Seite nach einer erfolgreichen Zahlung und auf der Seite, auf der Sie Ihre Newsletter-Anmeldung bestätigen. In Ihrem Kundenkonto, auf Seiten zu einem Termin oder einer Rechnung und auf Pflichtseiten wie Impressum, Datenschutzerklärung, AGB und Widerrufsbelehrung senden wir weder Seitenaufrufe noch Ereignisse und nie die Adresse der Seite. Ist Google Analytics von einer vorherigen Seite noch geladen, kann es dort von sich aus melden, wie lange Sie aktiv sind, ohne die Adresse der Seite. Die Adresse einer Seite übermitteln wir nie mit Kennungen einer Zahlung, eines Bestätigungslinks oder einer Anmeldung im Kundenkonto.

Für diese Messung übermitteln wir weder Namen noch E-Mail-Adressen noch Telefonnummern an Google oder Meta, auch nicht gehasht. Funktionen, die solche Angaben abgleichen (erweiterte Conversions bei Google, erweiterter Abgleich bei Meta), nutzen wir nicht, und von unserem Server senden wir nichts an Meta (Conversions API). Technisch bedingt erhalten Google und Meta beim Aufruf ihrer Dienste Ihre IP-Adresse, Angaben zu Browser und Gerät sowie die Kennungen aus ihren Cookies: aus denen unter unserer Adresse (Übersicht in Ziffer 3) und, soweit Ihr Browser sie mitsendet, aus Cookies unter ihren eigenen Adressen. Darüber können sie die Messung einem angemeldeten Konto zuordnen. Ein Kauf wird gemeldet, wenn die Seite nach der Zahlung neu geöffnet wird, nicht nach einem Neuladen oder Zurückblättern; öffnen Sie dieselbe Adresse später erneut, kann er ein weiteres Mal gemeldet werden. Dafür legen wir nichts in Ihrem Endgerät ab.

Google Analytics 4. Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Zweck ist eine Statistik darüber, welche Seiten aufgerufen werden, woher Besuche kommen und wie oft gekauft wird. Google erhält die Seitenaufrufe mit Adresse und Seitentitel, auch auf den Seiten einzelner Boosts; die Adresse kann Kampagnen- und Klick-Kennungen aus dem Link und, wenn Sie eine Buchung beginnen, den gewählten Boost enthalten. Als Herkunft erhält Google nur die Domain der Seite, von der Sie kamen. Google Analytics erfasst außerdem von sich aus, wann ein Besuch beginnt und wie lange Sie auf einer Seite aktiv sind. Bei einem Kauf erhält Google den Betrag, die Währung und die Bestellkennung; dazu ein Ereignis ohne Betrag, wenn Sie zur Kasse gehen, und ein Ereignis ohne weitere Angaben, wenn Sie Ihre Newsletter-Anmeldung bestätigen. Aus Ihrer IP-Adresse leitet Google einen ungefähren Standort ab. Die Bestellkennung ist eine pseudonyme Zeichenfolge, aus der sich weder Ihr Name noch die gekaufte Leistung ablesen lässt. Google verarbeitet diese Daten als unser Auftragsverarbeiter nach Art. 28 DSGVO (Googles Datenverarbeitungsbedingungen). Die Verknüpfung mit angemeldeten Google-Konten (Google Signals) und die Freigabe der Daten an Google für eigene Zwecke sind ausgeschaltet. Google Analytics ist nicht mit Google Ads verknüpft; was Google Analytics erfasst, erhält Google Ads nicht. Google Analytics bewahrt die Ereignisdaten 14 Monate auf.

Google Ads. Anbieter ist ebenfalls die Google Ireland Limited. Zweck ist die Messung, ob eine unserer Anzeigen bei Google dazu geführt hat, dass Sie zur Kasse gehen oder kaufen. Google erhält bei einem Kauf den Betrag, die Währung und die Bestellkennung; wenn Sie zur Kasse gehen, ein Ereignis ohne Betrag; jeweils mit Adresse und Titel der Seite (beide können den Boost nennen, den Sie gerade buchen), der Domain der Seite, von der Sie kamen, und, wenn Sie über eine unserer Anzeigen kamen, deren Klick-Kennung. Seitenaufrufe senden wir an Google Ads nicht. Für diese Messung ist Google eigener Verantwortlicher (Controller-Controller Data Protection Terms von Google). Sind Sie bei Google angemeldet, kann Google die Messung Ihrem Google-Konto zuordnen. Personalisierte Werbung ist für diese Daten ausgeschaltet; wir bilden daraus keine Zielgruppen und nutzen sie nicht, um Ihnen unsere Anzeigen erneut zu zeigen (Remarketing).

Meta Pixel. Anbieter ist die Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland. Zweck ist die Messung, ob unsere Anzeigen auf Instagram und Facebook zu Besuchen und Käufen führen. Meta erhält Seitenaufrufe mit Adresse und verweisender Seite, nie jedoch auf der Seite eines einzelnen Boosts und nie, wenn die Adresse oder die verweisende Seite einen bestimmten Boost nennt. Bei einem Kauf erhält Meta nur die Meldung, dass gekauft wurde, dazu wie bei jedem Aufruf die Adresse der Bestätigungsseite (ohne Zahlungskennung und ohne Art des Kaufs) und die verweisende Seite, aber weder den Betrag noch Angaben zur gekauften oder gebuchten Leistung noch eine Bestellkennung. Meta kann diese Daten Ihrem Konto bei Instagram oder Facebook zuordnen. Für die Erhebung auf unserer Website und die Übermittlung an Meta sind wir und Meta gemeinsam verantwortlich (Art. 26 DSGVO). Grundlage ist Metas Zusatz für Verantwortliche (Controller Addendum, www.facebook.com/legal/controller_addendum). Nach dieser Vereinbarung informieren wir Sie über die gemeinsame Verarbeitung und holen Ihre Einwilligung ein; Meta erfüllt Ihre Rechte nach Art. 15 bis 20 DSGVO für die bei Meta gespeicherten Daten. Sie können sich an uns oder an Meta wenden; Anfragen, die Meta betreffen, leiten wir weiter. Nach der Übermittlung verarbeitet Meta die Daten in alleiniger Verantwortung und kann sie auch für eigene Zwecke nutzen, etwa um Werbung auszuwählen und zu personalisieren und die eigenen Dienste zu verbessern; Einzelheiten beschreibt Metas Datenschutzrichtlinie (www.facebook.com/privacy/policy).

Rechtsgrundlage ist jeweils Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Sie ist freiwillig; lehnen Sie ab, nutzen Sie die Website ohne Einschränkung. Google und Meta können die Daten auch an die Google LLC bzw. die Meta Platforms, Inc. in den USA übermitteln. Beide Anbieter sind nach dem EU-US Data Privacy Framework zertifiziert (Stand: September 2026); die Übermittlung stützt sich auf den Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023 (Ziffer 17). Die Cookies von Google laufen spätestens 90 Tage nach Ihrem letzten Besuch ab (unsere Einstellung), die von Meta spätestens 90 Tage danach (von Meta vorgegeben); Einzelheiten stehen in der Übersicht in Ziffer 3. Wie lange Google (für Google Ads) und Meta die Daten in eigener Verantwortung speichern, legen beide selbst fest.

Ihre Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen, für jeden der drei Dienste einzeln, über „Cookie-Einstellungen“ in der Fußzeile. Danach läuft der widerrufene Dienst nicht mehr; war sein Skript schon geladen, lädt die Seite neu. Google Analytics und Google Ads nutzen dasselbe Skript von Google: Es lädt weiter, solange Sie einem der beiden zustimmen, arbeitet dann aber nur für diesen. Die Cookies und Einträge, die dieser Dienst unter unserer Adresse abgelegt hat (Übersicht in Ziffer 3), löschen wir dabei; Cookies, die Google oder Meta unter ihren eigenen Adressen führen, können Sie in Ihrem Browser löschen. Was bis dahin übermittelt wurde, bleibt davon unberührt.

5. Terminbuchung

Für Buchungen nutzen wir das Buchungssystem SimplyBook.me. Verarbeitet werden die für die Terminvereinbarung erforderlichen Daten (Name, Kontaktdaten, gewählte Leistung, Termin). Rechtsgrundlage ist die Vertragsanbahnung und -erfüllung (Art. 6 Abs. 1 lit. b DSGVO). SimplyBook.me ist Auftragsverarbeiter; ein Auftragsverarbeitungsvertrag besteht.

Buchen Sie einen Termin über ClassPass, erhalten wir von ClassPass Ihren Namen, den gebuchten Termin und eine von ClassPass vergebene Platzhalteradresse, über die wir Sie nicht erreichen; Ihre Kontaktdaten und die Abrechnung bleiben bei ClassPass. Wir verarbeiten diese Angaben zur Durchführung des Termins (Art. 6 Abs. 1 lit. b DSGVO). Eigene Bestätigungen oder Erinnerungen senden wir an diese Adresse nicht. Für die Verarbeitung bei ClassPass gelten dessen Datenschutzbestimmungen.

6. Gesundheitsdaten (Anamnese)

Vor einer Behandlung bieten wir Ihnen einen Anamnesebogen in Papierform an, dessen Ausfüllen freiwillig ist. Sofern Sie ihn ausfüllen, verarbeiten wir die darin enthaltenen Gesundheitsdaten (z. B. Vorerkrankungen, Medikamente, Schwangerschaft) ausschließlich zum Zweck der sicheren Durchführung der Behandlung. Rechtsgrundlage ist Ihre ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO). Die Bögen werden ausschließlich in Papierform in unseren Geschäftsräumen verschlossen aufbewahrt und sind nur dem behandelnden Fachpersonal sowie unseren Heilpraktikern zugänglich. Die Aufbewahrung erfolgt für die Dauer von zehn Jahren in Anlehnung an die für Behandlungsdokumentation übliche Frist. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.

7. Wohlbefindens-Fragebogen

Vor einem Termin können wir Ihnen einen kurzen, freiwilligen Wohlbefindens-Fragebogen anbieten (z. B. per SMS, E-Mail oder WhatsApp). Dieser dient ausschließlich einem unverbindlichen Stimmungs- bzw. Wohlbefindensbild (z. B. Fragen zu Müdigkeit, Arbeitsbelastung oder Konzentration) und ist ausdrücklich nicht auf eine medizinische Diagnose oder Beratung gerichtet. Es werden hierüber keine Gesundheitsdaten im Sinne des Art. 9 DSGVO erhoben; insbesondere fragen wir hier nicht nach Vorerkrankungen, Allergien, Medikamenten oder einer Schwangerschaft. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); die Teilnahme ist freiwillig und kann ohne Nachteil verweigert werden. Bei Versand über WhatsApp (Meta Platforms Ireland Ltd.) ist eine Verarbeitung von Daten auch außerhalb der EU nicht ausgeschlossen. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.

8. Zahlung und Online-Käufe

Zahlungen werden über den Zahlungsdienstleister Stripe (Stripe Payments Europe Ltd.) abgewickelt. Dies umfasst sowohl die Hinterlegung eines Zahlungsmittels zur Absicherung von Buchungen als auch die Abwicklung von Online-Zahlungen, insbesondere bei Vorauszahlung einer Behandlung sowie beim Kauf von Gutscheinen, Booster Packs oder vergleichbaren Leistungen. Zur Abwicklung verarbeiten wir die hierfür erforderlichen Bestell- und Zahlungsdaten (z. B. gewählte Leistung, Betrag, Zahlungsstatus) und ordnen sie Ihrer Buchung bzw. Ihrem Kundenkonto zu. Eine Belastung des hinterlegten Zahlungsmittels für Ausfallpauschalen erfolgt nur nach Maßgabe unserer AGB. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) sowie unser berechtigtes Interesse an der Absicherung gegen Terminausfälle (Art. 6 Abs. 1 lit. f DSGVO). Stripe ist Auftragsverarbeiter; ein Auftragsverarbeitungsvertrag besteht.

Wählen Sie im Bezahlvorgang eine Zahlart eines dritten Anbieters, werden die für die Zahlung erforderlichen Daten (insbesondere Name, E-Mail-Adresse, Betrag und Bestellbezug) an diesen Anbieter übermittelt. Das betrifft PayPal (PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg), Klarna (Klarna Bank AB (publ), Schweden) sowie bei Apple Pay und Google Pay die Apple Inc. bzw. die Google Ireland Limited. Diese Anbieter verarbeiten die Daten für die Abwicklung der von Ihnen gewählten Zahlart als eigene Verantwortliche nach ihren jeweils eigenen Datenschutzbestimmungen; sie können dabei eigene Identitäts- und Betrugsprüfungen durchführen. Auf diese Verarbeitung haben wir keinen Einfluss. Rechtsgrundlage der Übermittlung ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Die Übermittlung findet nur statt, wenn Sie die jeweilige Zahlart aktiv auswählen.

Stellen wir Firmen oder Kooperationspartnern eine Rechnung, verarbeiten wir die dafür nötigen Angaben (Firma, Ansprechpartner, Anschrift, ggf. USt-IdNr. und E-Mail-Adresse) zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und aufgrund der umsatzsteuerlichen Rechnungspflicht (Art. 6 Abs. 1 lit. c DSGVO, § 14 UStG); sie unterliegen denselben Aufbewahrungsfristen wie Rechnungsbelege (Ziffer 18).

Zahlen Sie vor Ort in bar oder am Kartenterminal, oder verzichten wir aus Kulanz auf einen Betrag, vermerken unsere Mitarbeitenden das zu Ihrer Buchung (Buchungsnummer, Zahlart, Betrag, kassierende Person und, etwa bei Kulanz, einen kurzen Grund). Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und unser berechtigtes Interesse an einer geordneten Kasse (Art. 6 Abs. 1 lit. f DSGVO). Wir bewahren den Vermerk auf, solange er für die Abrechnung des Termins gebraucht wird, längstens wie Rechnungs- und Zahlungsbelege (Ziffer 18).

8a. Geschenkgutscheine und Guthaben

Beim Kauf eines Geschenkgutscheins verarbeiten wir die Angaben der Käuferin oder des Käufers (E-Mail-Adresse sowie die Zahlungsdaten nach Ziffer 8) und — je nach gewähltem Zustellweg — den Namen und die E-Mail-Adresse der beschenkten Person, eine optionale persönliche Nachricht und den gewünschten Zustelltag. Diese Angaben verwenden wir ausschließlich, um den Gutschein zu erstellen, zuzustellen und einzulösen. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO); für die Angaben zur beschenkten Person zusätzlich unser berechtigtes Interesse an der Zustellung des Geschenks (Art. 6 Abs. 1 lit. f DSGVO). Der Gutschein-Code wird in unserer Datenbank nicht im Klartext, sondern als nicht umkehrbarer Prüfwert gespeichert.

Damit ein Ihnen zugestellter Gutschein in Ihrem Kundenkonto sichtbar ist, gleichen wir beim Anmelden bzw. beim Aufruf Ihres Kundenkontos Ihre bestätigte E-Mail-Adresse einmalig mit offenen Gutschein-Zustellungen ab und ordnen einen an diese Adresse zugestellten Gutschein automatisch Ihrem Konto zu. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Die Käuferin oder der Käufer eines verschenkten Gutscheins sieht nach der Zustellung bzw. nach der Zuordnung durch die beschenkte Person nur noch den Bestell- und Zustellstatus, nicht den aktuellen Restwert und nicht das Einlöseverhalten.

Die personenbezogenen Angaben auf dem Gutschein (Name, E-Mail-Adresse, persönliche Nachricht) entfernen wir 90 Tage nach Ablauf des Gutscheins. Die Einlösungshistorie bleibt ohne diese Angaben als Abrechnungsgrundlage erhalten (Ziffer 18).

Gelegentlich verschenken wir selbst Gutscheine, etwa als Gewinn bei einem Gewinnspiel oder aus Kulanz. Dann verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse und gegebenenfalls eine persönliche Nachricht ausschließlich, um Ihnen den Gutschein zuzustellen und ihn einzulösen; ein Kaufvertrag und damit ein Beleg oder ein Widerrufsrecht entstehen dabei nicht. Rechtsgrundlage ist unser berechtigtes Interesse an der Durchführung der Aktion (Art. 6 Abs. 1 lit. f DSGVO); für die Einlösung und die Löschung Ihrer Angaben 90 Tage nach Ablauf gelten die vorstehenden Absätze dieser Ziffer entsprechend.

8b. Rabattcodes (Aktionscodes)

Lösen Sie bei einer Buchung einen Rabattcode ein, speichern wir zu jedem betroffenen Termin den festgeschriebenen Rabattbetrag, die Buchungsnummer und eine Vorgangs-Klammer (sie verbindet die Termine eines Buchungsvorgangs). Anstelle Ihrer E-Mail-Adresse speichern wir eine pseudonyme Kennung: einen mit einem geheimen Schlüssel berechneten, nicht umkehrbaren Prüfwert der bei der Buchung angegebenen E-Mail-Adresse. Aus diesem Prüfwert lässt sich die Adresse nicht zurückrechnen; eine Verknüpfung mit Ihrem Kundenkonto wird dabei nicht gespeichert.

Der festgeschriebene Rabattbetrag ist die Grundlage für Restzahlung, Rechnung, eine etwaige Ausfallgebühr und Erstattungen; Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Die pseudonyme Kennung setzt die Begrenzung der Einlösungen je Person durch und verhindert die Umgehung von Aktionsbedingungen; Rechtsgrundlage ist unser berechtigtes Interesse an der Missbrauchsvermeidung (Art. 6 Abs. 1 lit. f DSGVO) — sie ersetzt die Speicherung Ihrer E-Mail-Adresse im Klartext.

Bei einer Stornierung wird die Einlösung entwertet, aber nicht gelöscht; das Einlöse-Kontingent des Codes wird wieder frei. Die pseudonyme Kennung bleibt auch nach einer Kontolöschung bestehen, weil sich Einlösungsgrenzen sonst durch das Anlegen und Löschen von Konten beliebig oft umgehen ließen. Die Einlösungszeilen sind Bestandteil der Abrechnung und werden wie Rechnungs- und Zahlungsbelege aufbewahrt (Ziffer 18).

9. Kontaktaufnahme und Widerrufsfunktion

Über die Kontaktformulare auf unserer Website (allgemeine Anfragen, Anfragen zu Zusammenarbeit und Franchise sowie Anfragen für Boost at Home) verarbeiten wir die von Ihnen gemachten Angaben zur Bearbeitung Ihrer Anfrage. Je nach Formular sind dies Ihr Name, Ihre E-Mail-Adresse, Ihre Telefonnummer, Ihre Adresse, ein gewünschter Termin sowie der Inhalt Ihrer Nachricht. Die Benachrichtigung an uns versenden wir über unseren transaktionalen Dienstleister (siehe Ziffer 11). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage auf den Abschluss oder die Durchführung eines Vertrages gerichtet ist, im Übrigen Art. 6 Abs. 1 lit. f DSGVO aufgrund unseres berechtigten Interesses an der Beantwortung von Anfragen.

Wenn Sie uns telefonisch kontaktieren, verarbeiten wir die Angaben, die Sie uns im Gespräch mitteilen, zu denselben Zwecken und auf derselben Rechtsgrundlage.

Wenn Sie uns über WhatsApp kontaktieren, verarbeitet Meta Platforms Ireland Ltd. Ihre Nachricht und Ihre Telefonnummer; eine Verarbeitung auch in den USA ist nicht ausgeschlossen. Sofern Sie im Anschluss an eine Formularanfrage den WhatsApp-Button auf unserer Website nutzen, wird eine Nachricht vorbereitet, die Ihren Vor- und Nachnamen enthält, damit wir Ihre Nachricht Ihrer Anfrage zuordnen können. Weitere Angaben aus dem Formular werden dabei nicht an WhatsApp übertragen. Sie können den vorbereiteten Text vor dem Absenden ändern oder löschen. Die Nutzung von WhatsApp ist freiwillig; Sie erreichen uns ebenso über unsere Kontaktformulare und telefonisch.

Bitte übermitteln Sie uns über WhatsApp keine Gesundheitsdaten oder sonstigen sensiblen Informationen. Gesundheitsbezogene Angaben besprechen wir mit Ihnen persönlich vor Ort.

Über die auf unserer Website bereitgestellte elektronische Widerrufsfunktion verarbeiten wir die von Ihnen gemachten Angaben zur Bearbeitung und Bestätigung Ihres Widerrufs und führen zum Nachweis des Zugangs ein Widerrufs-Journal (Art. 6 Abs. 1 lit. b und lit. c DSGVO). Buchen Sie einen Termin aus einem Booster-Pack-Guthaben, speichern wir außerdem zum Nachweis den Zeitpunkt und die Fassung Ihres ausdrücklichen Verlangens, dass die Leistung vor Ablauf der Widerrufsfrist beginnt (Art. 6 Abs. 1 lit. b und lit. c DSGVO). Beide Nachweise löschen wir nach den in Ziffer 18 genannten Fristen.

Zusätzlich zur E-Mail speichern wir zu jeder Anfrage eine Statistik-Zeile, die KEINE Angaben zu Ihrer Person enthält: die Art der Anfrage (allgemeine Frage, Zusammenarbeit, Boost @ Home, Boost-Wunsch), das gewählte Thema, bei Hausbesuchen die Vorlauf-Klasse (heute, kurzfristig, mit Vorlauf) und die ersten ZWEI Stellen der Postleitzahl, die Sprache, eine Geräteklasse sowie den Bearbeitungsstand. Weder Name, noch E-Mail-Adresse, Telefonnummer oder Anschrift werden dort gespeichert; diese Angaben stehen ausschließlich in der E-Mail. Zweck ist die Bearbeitung offener Anfragen und die Betriebsplanung, Rechtsgrundlage unser berechtigtes Interesse an einem funktionierenden Anfrage-Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Diese Zeilen löschen wir nach 24 Monaten (siehe Ziffer 18). Auch Ihr Nachrichtentext wird dort nicht gespeichert — mit EINER Ausnahme: beim Boost-Wunsch ist der von Ihnen eingegebene Wunschtext selbst das Anliegen und damit der Inhalt der Anfrage. Er wird deshalb gespeichert (höchstens 500 Zeichen), ohne jede Kontaktangabe und ohne Verknüpfung mit einer Kennung, und nach 24 Monaten gelöscht.

10. Newsletter

Sofern Sie sich für unseren Newsletter anmelden, verarbeiten wir Ihre E-Mail-Adresse auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Die Anmeldung ist über das Anmeldeformular auf unserer Website sowie über die Einstellungen in Ihrem Kundenkonto möglich.

Bei der Anmeldung über das Formular erfolgt die Anmeldung im Double-Opt-in-Verfahren. Die hierfür erforderliche Bestätigungsmail versenden wir über unseren transaktionalen Dienstleister (siehe Ziffer 11); sie enthält keinen Zählpixel und keine Weiterleitung zur Klickmessung. Bei der Aktivierung über Ihr Kundenkonto ist Ihre E-Mail-Adresse bereits durch die Anmeldung an Ihrem Konto bestätigt.

Zum Nachweis Ihrer Einwilligung speichern wir den Zeitpunkt der Einwilligung. Bei der Anmeldung über das Formular speichern wir zusätzlich Ihre IP-Adresse, Ihren Browsertyp sowie den Wortlaut der Einwilligungserklärung.

Ergänzend gilt seit dem 30. Juli 2026: Sie können die Einwilligung außerdem bei der Registrierung eines Kundenkontos erteilen. In diesem Fall nehmen wir Sie erst dann in den Verteiler auf, wenn Sie Ihre E-Mail-Adresse über den Bestätigungslink Ihres Kontos bestätigt haben; eine gesonderte Bestätigungsmail für den Newsletter erhalten Sie dann nicht.

Den Zeitpunkt, den Wortlaut der Einwilligungserklärung, Ihre IP-Adresse und Ihren Browsertyp (User-Agent) speichern wir bei allen genannten Anmeldewegen, also auch bei der Aktivierung über Ihr Kundenkonto und bei der Registrierung. Erfolgt die Einwilligung bei der Registrierung, beziehen sich IP-Adresse und Browsertyp auf die Bestätigung Ihrer E-Mail-Adresse. Diese Angaben dienen ausschließlich dem Nachweis nach Art. 7 Abs. 1 DSGVO.

Eine nicht bestätigte Anmeldung löschen wir nach 30 Tagen vollständig. Nach einer Abmeldung bewahren wir den Nachweis Ihrer Einwilligung auf, solange wir sie belegen können müssen (Art. 7 Abs. 1 DSGVO); eine feste Endfrist dafür legen wir noch fest. Melden Sie sich über Ihr Kundenkonto ab, entfernen wir dabei IP-Adresse und Browsertyp sofort aus Ihrer Anmeldung; nach einer Abmeldung über den Link im Newsletter bleiben sie Teil des Nachweises. Mit der Löschung Ihres Kundenkontos löschen wir die Anmeldung zur Adresse des Kontos und den Nachweis an Ihrem Kundenkonto.

Der Versand des Newsletters erfolgt über Brevo (Sendinblue GmbH, Berlin); die Verarbeitung erfolgt innerhalb der EU. Brevo wird ausschließlich für den Versand des Newsletters eingesetzt, nicht für den Versand transaktionaler E-Mails (siehe Ziffer 11). Brevo ist Auftragsverarbeiter; ein Auftragsverarbeitungsvertrag besteht.

Erfolgsmessung. Unsere Newsletter enthalten einen Zählpixel sowie Verlinkungen, die über die Server von Brevo geführt werden. Hierdurch können wir erkennen, ob und wann ein Newsletter geöffnet und welche Links darin angeklickt wurden. Diese Auswertung dient dazu, die Inhalte unseres Newsletters an den Interessen unserer Empfängerinnen und Empfänger auszurichten und dessen Gestaltung zu verbessern. Rechtsgrundlage hierfür ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO sowie, soweit hierbei auf Informationen in Ihrer Endeinrichtung zugegriffen wird, § 25 Abs. 1 TDDDG. Die Einwilligung in die Erfolgsmessung ist Bestandteil Ihrer Einwilligung in den Newsletterbezug; sie kann nicht gesondert widerrufen werden. Sie können der Erfolgsmessung dadurch widersprechen, dass Sie sich vom Newsletter abmelden. Viele E-Mail-Programme unterdrücken das Laden von Bildern zudem standardmäßig; in diesem Fall findet keine Öffnungsmessung statt.

Sie können sich jederzeit vom Newsletter abmelden, etwa über den Abmeldelink in jeder Newsletter-E-Mail oder über die Einstellungen in Ihrem Kundenkonto. Eine Abmeldung vom Newsletter hat keinen Einfluss auf den Empfang transaktionaler E-Mails, die zur Nutzung Ihres Kundenkontos und unserer Leistungen erforderlich sind.

11. Transaktionale E-Mails

Für den Versand transaktionaler E-Mails, also solcher E-Mails, die im Rahmen der Nutzung Ihres Kundenkontos und unserer Leistungen erforderlich sind (insbesondere Anmelde- und Bestätigungslinks, Registrierungsbestätigung, Zurücksetzen des Passworts, Versand und Bestätigung von Gutscheinen, Bestätigung einer Kontolöschung sowie Antworten auf Anfragen über unser Kontaktformular), setzen wir den Dienst Transactional Email der Scaleway SAS, 8 rue de la Ville-l'Évêque, 75008 Paris, Frankreich, ein.

Verarbeitet werden dabei die E-Mail-Adresse der empfangenden Person, gegebenenfalls deren Name, der Inhalt der jeweiligen E-Mail sowie technische Metadaten des Versands (insbesondere Zeitpunkt des Versands, Zustellstatus und Fehlermeldungen des empfangenden Servers). Diese Metadaten verwenden wir ausschließlich, um die Zustellbarkeit unserer E-Mails sicherzustellen und Zustellfehler zu erkennen.

Seit dem 23. August 2026 führt unser Zustell-Journal zu jeder versendeten E-Mail zusätzlich eine pseudonyme Empfänger-Kennung. Sie wird aus Ihrer E-Mail-Adresse mit einem Schlüssel berechnet, der ausschließlich auf unserem Datenbankserver gespeichert ist, und lässt sich ohne diesen Schlüssel nicht in die Adresse zurückrechnen; die E-Mail-Adresse selbst wird im Journal nicht gespeichert. Über diese Kennung können unsere Mitarbeitenden in der Kundenakte (Ziffer 13a) nachsehen, welche E-Mails wir Ihnen in den letzten 90 Tagen gesendet haben und ob sie zugestellt wurden — etwa wenn Sie uns fragen, warum eine Bestätigung nicht angekommen ist. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) sowie unser berechtigtes Interesse an einer zuverlässigen Zustellung und an der Beantwortung Ihrer Rückfragen (Art. 6 Abs. 1 lit. f DSGVO). Das Journal wird nach 90 Tagen gelöscht (Ziffer 18). Einträge, die zum Zeitpunkt einer Konto-Löschung jünger als 90 Tage sind, bleiben bis zum Ablauf dieser Frist bestehen; der letzte Eintrag belegt die Zustellung der Löschbestätigung.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, da der Versand dieser E-Mails zur Erfüllung des Vertrages beziehungsweise zur Durchführung vorvertraglicher Maßnahmen erforderlich ist, sowie Art. 6 Abs. 1 lit. f DSGVO aufgrund unseres berechtigten Interesses an einer zuverlässigen und sicheren Zustellung.

Die Verarbeitung erfolgt ausschließlich innerhalb der Europäischen Union; eine Übermittlung personenbezogener Daten in ein Drittland findet insoweit nicht statt. Scaleway ist Auftragsverarbeiter; ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO besteht.

Diese E-Mails enthalten keine Zählpixel und keine Weiterleitungen zur Klickmessung. Eine Messung von Öffnungs- oder Klickraten findet nicht statt. Ein Abbestellen ist bei diesen E-Mails nicht vorgesehen, da sie zur Durchführung des Vertragsverhältnisses erforderlich sind; hiervon unberührt bleibt Ihr Recht, Ihr Kundenkonto jederzeit zu löschen.

Ergänzend versenden wir eine Sicherheits-Benachrichtigung an die im Konto hinterlegte Adresse, sobald das Passwort dieses Kontos geändert wurde. Sie nennt den Zeitpunkt und den Weg der Änderung und enthält den Hinweis, wie Sie vorgehen, falls Sie die Änderung nicht selbst vorgenommen haben. Rechtsgrundlage ist insoweit Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Sicherheit der Verarbeitung nach Art. 32 DSGVO, also Ihre Möglichkeit, eine unbefugte Übernahme Ihres Kontos überhaupt zu bemerken. Aus demselben Grund lässt sich diese Benachrichtigung nicht abbestellen, solange das Konto besteht.

12. Kundenkonto und Anmeldung

Für die Verwaltung Ihrer Buchungen können Sie ein Kundenkonto anlegen. Die Authentifizierung und Verwaltung der Konten erfolgt über Supabase. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Supabase ist Auftragsverarbeiter; ein Auftragsverarbeitungsvertrag besteht.

Optional können Sie sich auch mit Ihrem Google-Konto anmelden („Mit Google fortfahren“). Wählen Sie diese Möglichkeit, werden die für die Anmeldung erforderlichen Daten zwischen Google (Google Ireland Ltd.) und uns ausgetauscht; insbesondere erhalten wir die mit Ihrem Google-Konto verknüpfte E-Mail-Adresse zur Einrichtung und Zuordnung Ihres Kundenkontos. Rechtsgrundlage ist die Durchführung des von Ihnen gewählten Anmeldeverfahrens und die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) bzw. Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Eine Übermittlung in die USA ist nicht ausgeschlossen; zur Rechtsgrundlage siehe Ziffer 17. Es gelten zusätzlich die Datenschutzbestimmungen von Google.

13. Treueprogramm

Sofern Sie an unserem Treueprogramm teilnehmen, verarbeiten wir die hierfür erforderlichen Daten, insbesondere die Zahl Ihrer vollständig bezahlten Behandlungen sowie den daraus resultierenden Anspruch auf eine kostenlose Leistung, und ordnen diese Ihrem Kundenkonto zu. Rechtsgrundlage ist die Durchführung des Treueprogramms im Rahmen des mit Ihnen bestehenden Vertragsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO) sowie unser berechtigtes Interesse an einer korrekten Abwicklung und an der Vermeidung von Missbrauch (Art. 6 Abs. 1 lit. f DSGVO). Wir speichern diese Daten für die Dauer Ihrer Teilnahme bzw. solange ein Anspruch bestehen kann.

13a. Kundenakte und interne Auswertung

Für den Betrieb der Lounge führen wir die zu Ihnen vorhandenen Angaben an einer Stelle zusammen: Ihre Termine aus dem Buchungssystem (Ziffer 5), Ihre Bestellungen und Belege (Ziffer 8), Ihre Gutscheine und Ihr Guthaben sowie, falls vorhanden, Ihr Kundenkonto (Ziffer 12). Verknüpft wird über Ihre E-Mail-Adresse. Zweck ist, eine Rückfrage vor Ort oder am Telefon beantworten zu können, ohne vier verschiedene Systeme durchsuchen zu müssen, und den Betrieb zu steuern (Auslastung, offene Belege, noch nicht eingelöste Guthaben). Rechtsgrundlage ist die Durchführung des mit Ihnen bestehenden Vertragsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO) sowie unser berechtigtes Interesse an einem geordneten Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Aus diesen Angaben berechnen wir zusätzlich, wie lange Ihr letzter Besuch zurückliegt, ob Sie regelmäßig kommen, und in welchem Umfang Gäste eines Monats später wiederkommen. Diese Auswertungen dienen der Planung und dazu, Sie gegebenenfalls an ein bestehendes Guthaben oder einen ablaufenden Gutschein zu erinnern. Rechtsgrundlage ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Es entsteht dabei KEINE automatisierte Entscheidung im Sinne des Art. 22 DSGVO: die Auswertung schlägt nichts vor und löst nichts aus, sie wird von Menschen gelesen. Sie können dieser Verarbeitung jederzeit nach Art. 21 Abs. 1 DSGVO widersprechen; eine formlose Nachricht genügt (Ziffer 19).

Zur Vorbereitung Ihres Termins können unsere Mitarbeitenden in Ihrer Kundenakte einen betrieblichen Vermerk aus einer festen Liste setzen: Ansprache auf Englisch, ruhiger Platz, telefonisch statt per E-Mail erreichbar, kommt meist zu zweit, Beleg auf Firma, zahlt vor Ort, Rechnung per Post, Vorgang in Klärung. Freien Text gibt es dort nicht, und kein Vermerk betrifft Ihre Gesundheit. Jeder Vermerk trägt ein Ablaufdatum, in der Regel sechs, höchstens 24 Monate nach dem Setzen; dann löschen wir ihn automatisch, bei einer Löschung Ihres Kundenkontos schon vorher. Gäste ohne Kundenkonto erhalten keinen Vermerk. Rechtsgrundlage ist die Durchführung des Vertragsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO) und unser berechtigtes Interesse an einem geordneten Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Auf Anfrage teilen wir Ihnen mit, welche Vermerke gesetzt sind; Sie können ihnen widersprechen (Ziffer 19).

Diese Ansicht ist ausschließlich für unsere Mitarbeitenden im geschützten Verwaltungsbereich zugänglich und erfordert eine gesonderte Anmeldung. Umsatz-, Bilanz- und Verbindlichkeitszahlen sind zusätzlich der Geschäftsleitung vorbehalten. Abgesehen von diesen Vermerken werden dort keine neuen Daten über Sie erhoben und keine zusätzlichen Daten gespeichert: die Ansicht liest, was ohnehin nach den Ziffern 5, 8, 11, 12 und 13 vorhanden ist, und es gelten die dort genannten Speicherdauern. Aus technischen Gründen werden die aus dem Buchungssystem gelesenen Angaben bis zu fünf Minuten auf unserem Server zwischengespeichert. Für die tägliche Arbeit können unsere Mitarbeitenden aus dieser Ansicht Listen als Datei herunterladen; solche Dateien enthalten die angezeigten Angaben, liegen dann auf einem Arbeitsgerät und werden gelöscht, sobald der Anlass entfallen ist.

14. Sicherheit und Missbrauchsabwehr

Zum Schutz unserer Website und unserer Systeme vor missbräuchlicher Nutzung (z. B. automatisierten Angriffen oder Spam) setzen wir technische Sicherheitsmaßnahmen ein. Hierbei können sicherheitsrelevante Ereignisse protokolliert werden, etwa eine gekürzte (anonymisierte) IP-Adresse, Angaben zum verwendeten Browser sowie die aufgerufene Funktion. Rechtsgrundlage ist unser berechtigtes Interesse an der Sicherheit und Integrität unseres Angebots (Art. 6 Abs. 1 lit. f DSGVO). Diese Sicherheitsprotokolle werden regelmäßig, spätestens nach 30 Tagen, gelöscht, soweit nicht im Einzelfall die Aufklärung eines konkreten Missbrauchs ausnahmsweise eine längere Speicherung erfordert.

Getrennt davon protokollieren wir jede Änderung, die unsere Mitarbeitenden im geschützten Verwaltungsbereich vornehmen, also etwa das Stornieren oder Verlegen eines Termins, das Anlegen einer Buchung, das Ändern einer internen Terminnotiz oder einer Einstellung. Festgehalten werden der Zeitpunkt, die handelnde Person mit ihrer dienstlichen E-Mail-Adresse, die Art der Änderung und eine Zusammenfassung; diese Zusammenfassung kann Ihren Namen und den betroffenen Termin enthalten. Zweck ist ausschließlich der Nachweis, wer eine Änderung veranlasst hat. Rechtsgrundlage ist unser berechtigtes Interesse an der Nachvollziehbarkeit von Änderungen an Ihren Buchungen sowie unsere Rechenschaftspflicht (Art. 6 Abs. 1 lit. f, Art. 5 Abs. 2 DSGVO). Nach zwölf Monaten entfernen wir Namen und Notiztexte aus diesen Einträgen; erhalten bleibt dann nur noch, wer wann welche Art von Änderung vorgenommen hat. Nach zehn Jahren löschen wir den Eintrag vollständig. Wir löschen das Protokoll bewusst nicht bereits bei einer Kontolöschung, weil ein Nachweis, der sich auf Zuruf selbst entfernen lässt, als Nachweis wertlos wäre (Art. 17 Abs. 3 lit. e DSGVO).

Zu jeder Anforderung einer Zurücksetzung und zu jeder Änderung des Passworts halten wir Zeitpunkt, Ereignisart, den Weg (Kundenkonto oder Verwaltungsbereich) und Ihre Konto-Kennung fest, um Häufungen zu erkennen, die auf eine unbefugte Übernahme hindeuten (Art. 6 Abs. 1 lit. f, Art. 32 DSGVO). IP-Adresse, Browserkennung und Passwort speichern wir dabei nicht. Diese Einträge löschen wir nach zwölf Monaten; mit einer Konto-Löschung entfällt der Bezug zu Ihrem Konto sofort.

15. Social Media

Unsere Website enthält Verlinkungen zu unseren Profilen bei Instagram, TikTok und Facebook. Es handelt sich um einfache Links; eine Datenübermittlung an die jeweiligen Anbieter erfolgt erst, wenn Sie aktiv darauf klicken und die jeweilige Plattform aufrufen. Für die dortige Verarbeitung gelten die Datenschutzbestimmungen des jeweiligen Anbieters. Davon getrennt ist das Meta Pixel, das nur mit Ihrer Einwilligung lädt (Ziffer 4b).

16. Empfänger und Auftragsverarbeitung

Mit den eingesetzten Dienstleistern bestehen, soweit erforderlich, Auftragsverarbeitungsverträge nach Art. 28 DSGVO. Das sind: Vercel (Hosting, Ziffer 2), Supabase (Datenbank und Kundenkonto, Ziffern 4 und 12), SimplyBook.me (Terminbuchung, Ziffer 5), Stripe (Zahlung, Ziffer 8), Scaleway (transaktionale E-Mails, Ziffer 11), Brevo (Versand des Newsletters, Ziffer 10), Google (Google Analytics, nur mit Ihrer Einwilligung, Ziffer 4b) und Microsoft (Microsoft Ireland Operations Ltd.; unser Geschäftspostfach, in dem alle E-Mails verarbeitet werden, die Sie uns senden oder die wir über unsere Kontaktformulare erhalten). Google setzen wir im Übrigen für die Anmeldung mit einem Google-Konto ein (Ziffer 12; zur Zahlart Google Pay siehe Ziffer 8 und den nachstehenden Absatz) sowie, mit Ihrer Einwilligung, für Google Ads; dafür ist Google eigener Verantwortlicher (Ziffer 4b). Meta setzen wir im Rahmen der Kommunikation über WhatsApp ein (Ziffern 7 und 9) sowie, mit Ihrer Einwilligung, für das Meta Pixel; für Erhebung und Übermittlung sind wir mit Meta gemeinsam verantwortlich (Ziffer 4b). Termine, die Sie über ClassPass buchen, erhalten wir von ClassPass (Ziffer 5).

Anbieter der von Ihnen gewählten Zahlart (PayPal, Klarna, Apple, Google) sind demgegenüber eigene Verantwortliche und keine Auftragsverarbeiter; für sie gelten ihre eigenen Datenschutzbestimmungen (siehe Ziffer 8).

17. Datenübermittlung in Drittländer

Soweit Dienste personenbezogene Daten in Länder außerhalb der EU/des EWR (insbesondere die USA) übermitteln, erfolgt dies nur auf Grundlage eines Angemessenheitsbeschlusses (für zertifizierte US-Empfänger das EU-US Data Privacy Framework) und/oder geeigneter Garantien im Sinne des Art. 46 DSGVO, insbesondere der EU-Standardvertragsklauseln. Entfällt eine dieser Grundlagen, stützen wir die Übermittlung auf die jeweils verbleibende geeignete Grundlage.

18. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen bestehen. Rechnungs- und Zahlungsbelege bewahren wir aufgrund handels- und steuerrechtlicher Pflichten 10 Jahre auf (§ 147 AO, § 14b UStG, § 257 HGB); nach einer Konto-Löschung werden sie pseudonymisiert (Name und E-Mail werden entfernt) getrennt aufbewahrt und nach Ablauf der Frist gelöscht. Die Zuordnung eines aufbewahrten Belegs zu einer Person ist danach nur noch über ein Pseudonym möglich; Name, E-Mail und Telefonnummer bewahren wir dafür nicht gesondert auf. Das gilt nicht für die Kontaktadresse, die Sie bei einem Kauf ohne Kundenkonto angegeben haben: Sie bleibt am Beleg bis zum Ablauf der Aufbewahrungsfrist, auch nach der Löschung eines Kundenkontos mit derselben Adresse. Anamnesedaten bewahren wir 10 Jahre auf. Sicherheitsprotokolle werden längstens nach 30 Tagen gelöscht (siehe Ziffer 14). Die Einzeldaten der Reichweitenmessung (Ziffer 4) löschen wir nach 90 Tagen, die Anfragen-Statistik-Zeilen ohne Kontaktangaben und freien Wunschtexte (Ziffer 9) nach 24 Monaten; das Zustell-Journal unserer E-Mails (Ziffer 11) wird nach 90 Tagen gelöscht. Für die Abstimmung über künftige Boosts (Ziffer 4a) gilt: die Stimmen löschen wir nach 12 Monaten, die anonymen Nutzungszahlen nach 90 Tagen. Alle diese Fristen laufen automatisch täglich ab; maßgeblich ist jeweils der Zeitpunkt der Erfassung.

Ergänzend gelten folgende Fristen: Die Einträge des Backoffice-Protokolls (Ziffer 14) verlieren nach zwölf Monaten Namen und Notiztexte und werden nach zehn Jahren gelöscht. Das Protokoll der Zugangs-Änderungen (Ziffer 14) löschen wir nach zwölf Monaten. Angaben zu einer hinterlegten Zahlungsabsicherung (Ziffer 8) verlieren Anschrift und Kartenmerkmale spätestens 400 Tage nach Erledigung des Vorgangs; ein von Ihnen hinterlegtes Zahlungsmittel wird 540 Tage nach der letzten Nutzung entfernt. Das Widerrufs-Journal und der Nachweis des ausdrücklichen Verlangens (Ziffer 9) werden drei Jahre ab dem Ende des Jahres ihrer Entstehung aufbewahrt und danach automatisch gelöscht. Beide bleiben auch nach einer Konto-Löschung bis zum Ablauf dieser Frist bestehen, gegebenenfalls mit der Kennung Ihres früheren Kontos; das Journal enthält außerdem den von Ihnen angegebenen Namen und die Kontaktadresse. Wir brauchen beide, um den Zugang Ihres Widerrufs und Ihr Verlangen nachweisen zu können (Art. 17 Abs. 3 lit. e DSGVO). Die personenbezogenen Angaben auf Geschenkgutscheinen entfernen wir 90 Tage nach Ablauf des Gutscheins (Ziffer 8a); festgeschriebene Rabatt-Einlösungen (Ziffer 8b) bewahren wir als Bestandteil der Abrechnung wie Rechnungs- und Zahlungsbelege auf. Eine nicht bestätigte Newsletter-Anmeldung löschen wir nach 30 Tagen; was nach einer Abmeldung als Nachweis bleibt, beschreibt Ziffer 10. Betriebliche Vermerke an der Kundenakte (Ziffer 13a) löschen wir zum gesetzten Ablaufdatum, spätestens 24 Monate nach dem Setzen. Für Google Analytics, Google Ads und das Meta Pixel gelten die Fristen in Ziffer 4b. Auf Dauer führen wir bewusst nur eine einzige Liste: die Sperrliste der E-Mail-Zustellung. Sie enthält Adressen, an die wir dauerhaft nicht mehr senden dürfen, etwa nach einer dauerhaften Unzustellbarkeit oder einer Beschwerde. Diese Liste zu löschen hieße, die Zustellung an genau diese Adressen wieder aufzunehmen; sie besteht ausschließlich, um NICHT zu senden. Für die im Buchungssystem (Ziffer 5) gespeicherten Termindaten nennen wir bewusst keine automatische Frist, weil wir sie dort nicht automatisiert löschen können; auf Ihr Verlangen löschen wir sie dort von Hand.

19. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch (Art. 21 DSGVO). Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO).

Zur Ausübung dieser Rechte genügt eine formlose Nachricht an hello@boosterlounge.com oder an die unter Ziffer 1 genannte Anschrift.

20. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig ist: Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.

21. Aktualität

Wir passen diese Datenschutzerklärung an, sobald sich die Datenverarbeitung ändert.

Einwilligung in die Verarbeitung von Gesundheitsdaten (Anamnesebogen)

Einwilligung in die Verarbeitung von Gesundheitsdaten: Ich willige ausdrücklich ein, dass die in diesem Bogen angegebenen Gesundheitsdaten zum Zweck der sicheren Durchführung der Behandlung erhoben, in Papierform für die Dauer von zehn Jahren gespeichert und ausschließlich dem behandelnden Fachpersonal sowie unseren Heilpraktikern zugänglich gemacht werden (Art. 9 Abs. 2 lit. a DSGVO). Diese Einwilligung ist freiwillig und kann jederzeit mit Wirkung für die Zukunft widerrufen werden; weitere Informationen enthält unsere Datenschutzerklärung.