Datenschutz & Datenschutzerklärung

1. Überblick: Wer ist Verantwortlicher?

1.1 5vorhaar als Dienstanbieter

5vorhaar betreibt eine SaaS-Plattform für Salon-Buchungen. Im Datenschutz unterscheiden wir:

• Salon (Datenverantwortlicher): Der Saloninhaber, der die Plattform nutzt und Kundendaten eingibt.
• 5vorhaar (Datenverarbeiter/Auftragsverarbeiter): Verarbeitet Kundendaten nur auf Anweisung des Salon.
• Endkunde (betroffene Person): Derjenige, der über die Plattform einen Termin bucht.

1.2 Für wen ist diese Datenschutzerklärung?

Diese Erklärung gilt für:

1. Saloninhaber (Kunden von 5vorhaar), die die Plattform abonnieren;
2. Endkunden der Salons, die online Termine buchen;
3. Besucher der Website 5vorhaar.ch.

2. Daten des Saloninhaber (Kundendaten)

2.1 Welche Daten erheben wir bei der Registrierung?

2.2 Wie lange speichern wir diese Daten?

• Aktives Abo: Solange das Abonnement aktiv ist, plus 90 Tage nach Kündigung.
• Nach Kündigung: Nach 90 Tagen werden alle Daten gelöscht, ausser Abrechnungsunterlagen (diese werden 10 Jahre gemäss Schweizer Buchhaltungsgesetz aufbewahrt, aber pseudonymisiert).
• Rechtsstreitigkeiten: Im Falle von rechtlichen Ansprüchen können Daten länger gespeichert werden.

3. Daten der Endkunden (Buchungsdaten)

3.1 Wer ist Verantwortlicher?

Der Salon (der Saloninhaber) ist der Datenverantwortliche für Endkundendaten. 5vorhaar ist Auftragsverarbeiter und verarbeitet Daten nur auf Anweisung des Salon.

3.2 Welche Daten werden von Endkunden erfasst?

• Name, Vorname
• Telefonnummer oder E-Mail (abhängig von Salon-Konfiguration)
• Gebuchter Service und Termin
• Spezielle Wünsche oder Notizen (z.B. Allergien)
• Buchungsdatum, Ankunftszeit, Stornierungen
• IP-Adresse und Timestamp der Buchung

3.3 Wofür werden diese Daten genutzt?

• Termin-Management und Erinnerungen (E-Mail, SMS)
• Kundenbeziehungen und Rückkehr-Marketing (nur wenn Salon das aktiviert)
• Zahlungsverarbeitung (falls Vorausbuchung erforderlich)
• Betrugsprävention und Platzverschwendung

3.4 Weitergabe an Dritte

Endkundendaten werden nicht an Dritte weitergegeben, ausser wenn:

• Google Calendar: Wenn der Salon sein Google Calendar mit 5vorhaar synchronisiert (optional), wird der Termin an Google übertragen, um Verfügbarkeit zu aktualisieren.
• E-Mail-Service (Resend): Wenn der Salon automatische E-Mail-Bestätigungen oder Erinnerungen aktiviert, werden Name und E-Mail an Resend übertragen (GDPR-konform).
• Stripe: Nur falls der Salon Zahlungen verlangt; dann wird nur die Zahlungs-Transaktion übertragen, nicht die Kundenidentität.
• Behördliche Anfragen: 5vorhaar kann verpflichtet werden, Daten an Behörden weiterzugeben, wenn eine gültige rechtliche Anordnung vorliegt.

3.5 Speicherdauer für Endkundendaten

• Abgeschlossene Buchungen: 3 Jahre (für Geschäftsabwicklung und Streitbeilegung)
• Stornierte oder nicht wahrgenommene Termine: 1 Jahr
• Ausstehende oder zukünftige Termine: Bis zum Termin + 7 Tage
• Nach Kundenanfrage (Recht auf Löschung): 30 Tage nach Anfrage (soweit keine rechtliche Aufbewahrungspflicht besteht)

4. Datenverarbeiter und Cloud-Infrastruktur

4.1 Wer verarbeitet die Daten?

4.2 Datenübertragungen in Drittländer

Einige Verarbeiter (z.B. Stripe, Google, Resend) haben Server in den USA. 5vorhaar stellt sicher, dass alle Übertragungen nach Standard Contractual Clauses (SCCs) erfolgen und den Anforderungen der SCHREMS-II-Entscheidung entsprechen.

5. Rechte der Endkunden (und Saloninhaber)

5.1 Auskunftsrecht (Recht auf Datenzugang)

Jede Person hat das Recht zu erfahren, welche ihrer Daten 5vorhaar speichert. Anfragen an: datenschutz@5vorhaar.ch

5.2 Recht auf Berichtigung

Fehlerhafte oder unvollständige Daten können korrigiert werden. Der Endkunde kann dies direkt über seine Buchung oder per Anfrage tun.

5.3 Recht auf Löschung («Recht auf Vergessenwerden»)

Daten können gelöscht werden, sofern keine rechtliche Aufbewahrungspflicht besteht (z.B. für Rechnungen). 5vorhaar wird die Anfrage innerhalb von 30 Tagen bearbeiten.

5.4 Recht auf Einschränkung der Verarbeitung

Die Verarbeitung von Daten kann eingeschränkt werden (z.B. während der Überprüfung einer Beschwerde).

5.5 Recht auf Datenportabilität

Daten können in einem maschinenlesbaren Format (CSV, JSON) angefordert werden. Anfragen an: datenschutz@5vorhaar.ch

5.6 Widerspruchsrecht

Personen können der Verarbeitung ihrer Daten widersprechen, insbesondere bei Marketing-E-Mails oder Profiling. Ein Abmelde-Link ist in jeder E-Mail vorhanden.

5.7 Beschwerde bei der Aufsichtsbehörde

Im Falle von Datenschutzverletzungen können Beschwerden bei der zuständigen Aufsichtsbehörde eingereicht werden:

• Schweiz: Eidgenössischer Datenschutzbeauftragter (EDÖB)
• EU: European Data Protection Board (EDPB)

6. Sicherheit & Datenschutzmassnahmen

6.1 Verschlüsselung

• In Transit: TLS 1.3 (HTTPS) für alle Übertragungen
• At Rest: AES-256 Verschlüsselung aller Kundendaten in der Datenbank
• Passwörter: Bcrypt-Hashing (nicht im Klartext gespeichert)

6.2 Zugriffskontrolle

• Nur 5vorhaar-Mitarbeiter mit berechtigtem Geschäftszweck haben Zugriff auf Daten
• Row-Level Security (RLS) in Supabase: Jeder Salon sieht nur seine eigenen Daten
• Multi-Factor Authentication (MFA) für Admin-Accounts

6.3 Audit & Logging

Alle Datenzugriffe und Änderungen werden geloggt (Audit-Trail) und können von Salons angefordert werden.

6.4 Datensicherungs- und Disaster-Recovery-Plan

• Automatische täglich Backups (mehrere geografische Standorte)
• Recovery Point Objective (RPO): 24 Stunden
• Recovery Time Objective (RTO): < 4 Stunden

6.5 Sicherheitsvorfälle (Incident Response)

Im Falle einer Datenschutzverletzung wird 5vorhaar:

1. Die Aufsichtsbehörde benachrichtigen (innerhalb von 72 Stunden, gemäss GDPR/DSG)
2. Betroffene Personen informieren (persönlich, wenn nötig)
3. Eine Post-Incident-Analyse durchführen und Massnahmen zur Verhinderung implementieren

7. Anonymisierte und Aggregierte Daten

7.1 Verwendung für Produktverbesserung

5vorhaar darf anonymisierte und aggregierte Daten nutzen, um die Plattform zu verbessern, z.B.:

• Durchschnittliche Buchungsdauer pro Dienstleistung
• Peak Hours und Auslastungsmuster
• Häufig gebuchte Services (Trend-Analyse)
• Durchschnittliche Kundenrückkehr-Rate

Diese Daten enthalten keine persönlichen Informationen und können nicht auf Individuen zurückgeführt werden.

7.2 Weitergabe an Dritte

Anonymisierte Daten können an Dritte weitergegeben werden (z.B. für Branchenberichte, Marktforschung), ohne dass eine Einwilligung erforderlich ist.

8. Datenschutzerklärung für Endkunden (Vorlage für Salons)

8.1 Warum braucht ein Salon eine Datenschutzerklärung?

Der Salon ist der Datenverantwortliche für Endkundendaten. Nach GDPR/DSG muss der Salon auf seiner Website oder Buchungsseite offenlegen, wie er Kundendaten verarbeitet.

8.2 5vorhaar stellt eine Vorlage bereit

Unter 5vorhaar.ch/datenschutz-salon kann jeder Salon eine vorgefertigte Datenschutzerklärung herunterladen, die er auf seiner Website veröffentlicht. Die Vorlage ist anpassbar und berücksichtigt, dass 5vorhaar Auftragsverarbeiter ist.

9. Auftragsverarbeitungsvertrag (DPA)

9.1 Ist einer erforderlich?

Ja. Wenn der Salon Endkundendaten über 5vorhaar verarbeitet, ist ein Auftragsverarbeitungsvertrag (DPA) erforderlich (nach GDPR Art. 28, DSG Art. 11).

9.2 5vorhaar stellt eine Standard-DPA bereit

Die DPA wird automatisch mit dem Servicevertrag abgeschlossen. Sie ist unter 5vorhaar.ch/dpa einsehbar.

9.3 Inhalt der DPA

• Umfang und Zweck der Datenverarbeitung
• Art der Personendaten (Name, Telefon, etc.)
• Kategorien betroffener Personen (Endkunden)
• Dauer der Verarbeitung
• Sicherheitsmassnahmen
• Untervergabe an Sub-Prozessoren (Stripe, Resend, etc.)
• Rechte und Pflichten beider Parteien

10. Kontakt & Anfragen

10.1 Datenschutzbeauftragter / Kontakt

Für Fragen zum Datenschutz oder zur Geltendmachung von Rechten (Auskunft, Löschung, Beschwerde):

E-Mail: datenschutz@5vorhaar.ch
Adresse: 5vorhaar, Bern, Schweiz
Antwortfrist: 30 Tage (nach GDPR/DSG)

10.2 Änderungen dieser Datenschutzerklärung

Diese Erklärung kann jederzeit aktualisiert werden. Größere Änderungen werden den Nutzern per E-Mail mitgeteilt.

11. Anwendbares Recht & Jurisdiction

Diese Datenschutzerklärung unterliegt Schweizer Datenschutzgesetz (nDSG) und der EU-GDPR (sofern EU-Bürger betroffen sind).