Datenschutzerklärung

1. Verantwortlicher und Kontakt

Verantwortlich für die Datenverarbeitung auf dieser Website im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

LT Laserazor Treatment GmbH
vertreten durch den Geschäftsführer Mithat Arda
Straße der Jugend 18, 14974 Ludwigsfelde
Deutschland

Handelsregister: Amtsgericht Potsdam, HRB 37070 P
USt-IdNr.: DE356621370
Telefon / WhatsApp: +49 176 62105273
E-Mail: info@laserazor.de

Für datenschutzrechtliche Anliegen erreichen Sie uns unter:
datenschutz@laserazor.de

2. Datenschutzbeauftragte / ‑r

Ein Datenschutzbeauftragter ist nach derzeitiger Einschätzung gemäß § 38 BDSG i.V.m. Art. 37 DSGVO nicht verpflichtend zu bestellen, da eine umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) im Sinne einer Kerntätigkeit mit automatisierten Mitteln nicht erfolgt — Gesundheits- und Anamnesedaten werden ausschließlich lokal und in Papierform in der jeweiligen Filiale geführt (siehe Ziffer 8). Datenschutzrechtliche Anliegen richten Sie bitte an die in Ziffer 1 genannten Kontaktdaten.

3. Allgemeine Grundsätze der Datenverarbeitung

Wir verarbeiten personenbezogene Daten ausschließlich im Rahmen der gesetzlichen Vorgaben (DSGVO, BDSG, TTDSG). In dieser Datenschutzerklärung informieren wir transparent über Art, Umfang und Zweck der Verarbeitung sowie über Ihre Rechte.

Rechtsgrundlagen der Verarbeitung (Art. 6 DSGVO):

• Art. 6 Abs. 1 lit. a DSGVO — Einwilligung (z. B. Cookie-Consent, Marketing)
• Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung / Vertragsanbahnung (Buchung, Behandlung)
• Art. 6 Abs. 1 lit. c DSGVO — rechtliche Verpflichtung (z. B. Aufbewahrungspflichten, NiSV-Dokumentation)
• Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse (IT-Sicherheit, Missbrauchsabwehr)
• Art. 9 Abs. 2 lit. a DSGVO — ausdrückliche Einwilligung in die Verarbeitung besonderer Kategorien (Gesundheitsdaten im Anamnesebogen)

Für das Setzen bzw. Auslesen von Cookies oder ähnlichen Technologien, die nicht unbedingt erforderlich sind, bildet § 25 Abs. 1 TTDSG i.V.m. Art. 6 Abs. 1 lit. a DSGVO die Rechtsgrundlage.

4. Hosting, Content-Delivery-Network und Server-Logfiles

4.1 Hosting (Hetzner)

Diese Website wird gehostet bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland. Die Server stehen in Rechenzentren innerhalb der Europäischen Union. Mit Hetzner besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.

4.2 Content-Delivery-Network / Sicherheit (Cloudflare)

Zur Auslieferung der Website, zur Abwehr von DDoS-Angriffen und zur DNS-Verwaltung nutzen wir Dienste von Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA, repräsentiert in Europa durch die Cloudflare Germany GmbH, Rosental 7, c/o Mindspace, 80331 München.

Cloudflare fungiert als zwischengeschalteter Proxy zwischen Ihrem Browser und unseren Servern. Dabei werden u. a. Ihre IP-Adresse, Zeitpunkt des Aufrufs, verwendeter Browser/Gerät und technische Verbindungsdaten verarbeitet, um die Seitenauslieferung zu beschleunigen und Angriffe abzuwehren.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an IT-Sicherheit, Performance, Verfügbarkeit). Mit Cloudflare besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO sowie EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Cloudflare ist unter dem EU-US Data Privacy Framework zertifiziert, wodurch ein angemessenes Schutzniveau gemäß Art. 45 DSGVO anerkannt ist. Weitere Informationen: cloudflare.com/privacypolicy.

4.3 Server-Logfiles

Beim Aufruf der Website übermittelt Ihr Browser technisch notwendige Informationen, die automatisch in Server-Logfiles erfasst werden:

• IP-Adresse des anfragenden Endgeräts
• Datum und Uhrzeit des Zugriffs
• Name und URL der abgerufenen Datei
• Referrer-URL (zuvor besuchte Website)
• Verwendeter Browser, Betriebssystem, Sprache
• Übertragene Datenmenge, HTTP-Statuscode

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an IT-Sicherheit, Abuse-Abwehr, Statistik). Die Logfiles werden nach spätestens 14 Tagen automatisch gelöscht, sofern nicht konkrete Anhaltspunkte für einen Sicherheitsvorfall eine längere Aufbewahrung rechtfertigen.

5. SSL-/TLS-Verschlüsselung

Diese Seite nutzt aus Sicherheitsgründen und zum Schutz vertraulicher Inhalte eine SSL/TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie am „https://" in der Adresszeile sowie am Schloss-Symbol im Browser.

6. Cookies & vergleichbare Technologien

Unsere Website verwendet Cookies (Textdateien) sowie vergleichbare Technologien (LocalStorage, SessionStorage, Pixel). Wir unterscheiden:

• Technisch notwendige Cookies — erforderlich für den Betrieb der Website (z. B. Sprach- und Consent-Einstellung). Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TTDSG, Art. 6 Abs. 1 lit. f DSGVO. Keine Einwilligung nötig.
• Statistik-/Analyse-Cookies — messen die Nutzung der Website. Nur nach Einwilligung. Rechtsgrundlage: § 25 Abs. 1 TTDSG, Art. 6 Abs. 1 lit. a DSGVO.
• Marketing-/Tracking-Cookies — ermöglichen personalisiertes Retargeting. Nur nach Einwilligung. Rechtsgrundlage: § 25 Abs. 1 TTDSG, Art. 6 Abs. 1 lit. a DSGVO.

Ihre Cookie-Einstellungen können Sie jederzeit über den Cookie-Banner (aufrufbar über den Link „Cookie-Einstellungen" im Footer) anpassen oder Ihre Einwilligung widerrufen. Der Widerruf berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung.

7. Einsatz von Drittanbieter-Diensten

Nachfolgend informieren wir über alle auf der Website eingesetzten Drittanbieter-Dienste.

7.1 Google Tag Manager

Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Mutterkonzern: Google LLC, USA).
Zweck: technische Verwaltung von Marketing- und Analyse-Tags. Der GTM selbst setzt keine Tracking-Cookies, lädt jedoch weitere Tags.
Daten: IP-Adresse, Gerätekennungen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).
Drittland: USA; Garantien: EU-Standardvertragsklauseln, EU-US Data Privacy Framework (DPF-zertifiziert).
Widerruf: über den Cookie-Banner.

7.2 Google Analytics 4

Anbieter: Google Ireland Limited, Dublin (Mutter: Google LLC, USA).
Zweck: Reichweitenmessung, anonymisierte Analyse des Nutzerverhaltens.
Daten: gekürzte IP-Adresse (IP-Anonymisierung aktiv), Gerät/Browser, besuchte Seiten, Verweildauer, pseudonyme Client-ID.
Speicherdauer: bis zu 14 Monate.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO.
Drittland: USA; Garantien: EU-Standardvertragsklauseln, DPF-zertifiziert.
Widerruf: Cookie-Banner oder Browser-Add-on unter tools.google.com/dlpage/gaoptout.

7.3 Meta Pixel (Facebook / Instagram)

Anbieter: Meta Platforms Ireland Ltd., 4 Grand Canal Square, Dublin 2, Irland (Mutter: Meta Platforms, Inc., USA).
Zweck: Conversion-Messung, Bildung von Zielgruppen („Custom Audiences") für Anzeigen auf Facebook & Instagram.
Daten: IP-Adresse, Browser-/Geräte-ID, besuchte Seiten, Ereignisse (z. B. „Probesession gebucht"), ggf. Facebook-Login-Status.
Speicherdauer: bis zu 2 Jahre.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO.
Drittland: USA; Garantien: EU-Standardvertragsklauseln, DPF-zertifiziert.
Gemeinsame Verantwortlichkeit: Für bestimmte Verarbeitungsschritte besteht nach Art. 26 DSGVO eine gemeinsame Verantwortlichkeit mit Meta auf Grundlage des „Controller Addendum" von Meta.
Widerruf: Cookie-Banner sowie Werbeeinstellungen unter facebook.com/settings?tab=ads.

7.4 Phorest (Online-Terminbuchung)

Anbieter: Phorest Salon Software Ltd., 14 Fitzwilliam Place, Dublin 2, D02 YV82, Irland.
Zweck: Online-Terminvereinbarung und Verwaltung von Kundenstammdaten für Buchungen.
Erhobene Daten im Online-Buchungsprozess: ausschließlich Name, Mobiltelefonnummer und E-Mail-Adresse sowie gewählter Termin, Standort und Behandlungszone.
Über den Online-Buchungsprozess werden keine Gesundheits- oder Anamnesedaten erhoben. Diese werden ausschließlich vor Ort in der Filiale im Rahmen des persönlichen Aufklärungs- und Anamnesegesprächs erfasst (siehe Ziffer 8).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung/-erfüllung).
Serverstandort: Europäische Union. Mit Phorest besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.
Weitere Informationen: phorest.com/de/datenschutz.

7.5 Google Fonts (lokal eingebunden)

Wir binden verwendete Schriftarten lokal auf unserem Server ein; eine Verbindung zu Google-Servern findet beim Seitenaufruf nicht statt. Es werden insoweit keine personenbezogenen Daten an Google übertragen.

7.6 Social-Media-Profile (reine Verlinkung)

Auf unserer Website finden sich Links zu unseren Profilen auf Facebook, Instagram, TikTok sowie zu WhatsApp. Eine Datenübertragung an die jeweiligen Plattformen erfolgt erst nach Klick auf die entsprechenden Icons. Beim reinen Laden unserer Website findet keine Datenübertragung an die Plattformen statt (sog. „Zwei-Klick-Lösung"/reiner Link).

7.7 Google Maps

Auf unseren Standort-Seiten binden wir interaktive Karten von Google Maps ein. Anbieter: Google Ireland Limited, Dublin. Beim Aufruf der Karte werden u. a. IP-Adresse und technische Informationen an Google übertragen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung über Cookie-Banner).
Drittland: USA; Garantien: EU-Standardvertragsklauseln, DPF-zertifiziert.

8. Verarbeitung im Rahmen der Behandlung

Im Rahmen der Vertragsanbahnung und ‑durchführung verarbeiten wir die folgenden Daten:

8.1 Online (Website / Phorest-Buchung)

• Bestands-/Kontaktdaten: Name, Mobiltelefonnummer, E-Mail-Adresse
• Buchungsdaten: gewählter Termin, Standort, Behandlungszone

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung). Speicherung auf EU-Servern bei Phorest (siehe Ziffer 7.4).

8.2 Vor Ort im Studio (ausschließlich physisch/lokal)

• Gesundheits- und Anamnesedaten (besondere Kategorie nach Art. 9 DSGVO): Hauttyp nach Fitzpatrick, Medikamenteneinnahme, Allergien, relevante Vorerkrankungen, Schwangerschaft, Tätowierungen im Behandlungsfeld, Bräunungszustand
• Aufklärungs- und Einwilligungsdokumentation nach NiSV
• Behandlungsdokumentation: durchgeführte Sitzungen, Geräteparameter, Beobachtungen
• ggf. ergänzende Bestandsdaten (Anschrift, Geburtsdatum, Unterschrift)
• Zahlungsdaten: Belege, Rechnungen; bei Kartenzahlung erfolgt die Abwicklung durch einen externen Zahlungsdienstleister, ohne dass wir Kartendaten erhalten

Wichtiger Hinweis zur Speicherung von Gesundheitsdaten: Gesundheits- und Anamnesedaten werden ausschließlich in Papierform in der jeweiligen Filiale in abschließbaren Schränken aufbewahrt. Eine Verarbeitung in Cloud-Systemen oder die Übermittlung an externe Anbieter findet nicht statt. Zugriff haben ausschließlich die für die Behandlung zuständigen Mitarbeiter:innen, die einer berufsrechtlichen Verschwiegenheitspflicht unterliegen.

Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
• Art. 6 Abs. 1 lit. c DSGVO i.V.m. § 5 NiSV (gesetzliche Dokumentationspflicht)
• Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche schriftliche Einwilligung in die Verarbeitung besonderer Kategorien)

Speicherdauer:

• Behandlungs- und Anamnesedokumentation: 10 Jahre (analog § 10 MBO-Ä, NiSV-Dokumentationspflicht)
• Steuerlich relevante Unterlagen (Rechnungen): 8–10 Jahre gemäß §§ 147 AO, 257 HGB
• Sonstige Vertragsdaten: bis 4 Jahre nach Vertragsende
• Online erhobene Buchungsdaten (Phorest): Löschung auf Antrag bzw. spätestens 3 Jahre nach letzter Buchung

9. Kontaktaufnahme per E-Mail, Telefon oder WhatsApp

Bei Kontaktaufnahme verarbeiten wir Ihre Angaben (Name, Kontaktdaten, Anliegen) zur Bearbeitung Ihrer Anfrage.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an effizienter Kommunikation).
Die Daten werden gelöscht, sobald der Zweck entfallen ist und keine gesetzlichen Aufbewahrungspflichten bestehen.

Hinweis zu WhatsApp: Bei Kontakt über WhatsApp (Meta Platforms Ireland Ltd.) werden Ihre Telefonnummer und Nachrichteninhalte vom Dienstanbieter verarbeitet. Wir empfehlen, über WhatsApp keine sensiblen Gesundheitsinformationen zu übermitteln; nutzen Sie hierfür bitte das persönliche Gespräch in der Filiale.

10. Missbrauchsabwehr Probesession

Zur Prüfung der Neukund:innen-Eigenschaft für die kostenlose Probesession gleichen wir Name, E-Mail, Mobiltelefonnummer und ggf. IP-Adresse mit bestehenden Buchungs- und Kundendatensätzen ab.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Missbrauchsabwehr). Die Prüfdaten werden spätestens nach 12 Monaten gelöscht, sofern keine Buchung erfolgte.

11. Weitergabe an Empfänger

Eine Weitergabe Ihrer Daten erfolgt nur an die folgenden Kategorien von Empfängern und nur im erforderlichen Umfang:

• Auftragsverarbeiter: IT-Hosting (Hetzner), CDN/Sicherheit (Cloudflare), Buchungssystem (Phorest), Analyse/Marketing (Google, Meta) — jeweils auf Grundlage von Auftragsverarbeitungs­verträgen nach Art. 28 DSGVO
• Zahlungsdienstleister: für Karten-, SEPA- oder sonstige Zahlungen
• Steuerberatung und Wirtschaftsprüfung: zur Erfüllung gesetzlicher Pflichten
• Behörden und Gerichte: nur im Rahmen gesetzlicher Verpflichtungen

Gesundheits- und Anamnesedaten werden grundsätzlich nicht an Dritte weitergegeben (Ausnahme: gesetzliche Verpflichtung oder ausdrückliche Einwilligung).

12. Drittstaaten­übermittlungen

Bei Einsatz von Diensten US-amerikanischer Anbieter (Google Analytics, Google Tag Manager, Google Maps, Meta Pixel, Cloudflare) können personenbezogene Daten in die USA übermittelt werden. Die Rechtmäßigkeit stützt sich auf:

• EU-Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO
• den Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023 zum EU-US Data Privacy Framework (DPF) — alle genannten Anbieter sind DPF-zertifiziert, womit gemäß Art. 45 DSGVO ein angemessenes Schutzniveau anerkannt ist

Zertifizierungen können unter dataprivacyframework.gov eingesehen werden.

Ungeachtet dieser Garantien kann ein Zugriff durch US-Behörden nach dortigem Recht nicht vollständig ausgeschlossen werden. Durch Ihre Einwilligung im Cookie-Banner erklären Sie sich mit diesen Übermittlungen ausdrücklich einverstanden (Art. 49 Abs. 1 lit. a DSGVO, hilfsweise).

13. Automatisierte Entscheidungen / Profiling

Eine ausschließlich automatisierte Entscheidungsfindung einschließlich Profiling mit rechtlicher Wirkung gemäß Art. 22 DSGVO findet nicht statt.

14. Ihre Rechte als betroffene Person

Ihnen stehen nach der DSGVO folgende Rechte zu:

• Auskunft über die verarbeiteten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung („Recht auf Vergessenwerden", Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen, insbesondere gegen Direktwerbung (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Zur Ausübung Ihrer Rechte genügt eine formlose Mitteilung an datenschutz@laserazor.de oder per Post an die in Ziffer 1 genannte Adresse. Wir bearbeiten Ihr Anliegen unverzüglich, spätestens innerhalb eines Monats (Art. 12 Abs. 3 DSGVO).

15. Zuständige Aufsichtsbehörde

Die für uns zuständige Datenschutz-Aufsichtsbehörde ist:

Die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg
Stahnsdorfer Damm 77, 14532 Kleinmachnow
Tel.: +49 33203 356‑0
www.lda.brandenburg.de

Je nach Wohn- oder Arbeitsort können Sie sich auch an die für Sie örtlich zuständige Aufsichtsbehörde wenden.

16. Pflicht zur Bereitstellung von Daten

Für den Abschluss eines Behandlungsvertrages sind die in Ziffer 8 genannten Daten erforderlich. Ohne diese Angaben können wir den Vertrag nicht anbieten bzw. die Behandlung nicht sicher durchführen. Weitergehende Angaben (z. B. Newsletter-Anmeldung, Marketing-Einwilligungen) erfolgen freiwillig.

17. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung bei Änderungen unserer Verarbeitungs­vorgänge, neuen Tools oder geänderten rechtlichen Anforderungen zeitnah an. Die jeweils aktuelle Fassung ist stets unter dieser URL abrufbar; maßgeblich ist der oben angegebene Stand.