Datenschutzerklärung

1. Wer ist verantwortlich?

Verantwortlich für die Verarbeitung personenbezogener Daten auf TERme im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

• Mikail Kilic
• Bundesstraße 9, 6116 Weer, Österreich
• E-Mail: hi@ter-me.at
• Telefon: +43 676 1660713

Einen Datenschutzbeauftragten haben wir nicht bestellt, weil die Voraussetzungen dafür (Art. 37 DSGVO) bei uns nicht vorliegen. Für alle Fragen zum Datenschutz erreichst du uns unter der oben genannten E-Mail-Adresse.

Diese Erklärung gilt für die Website TERme, die Web-App unter /app/ und die mobilen Apps von TERme. Sie informiert dich nach Art. 13 und 14 DSGVO.

2. Wer ist wofür verantwortlich?

TERme ist ein Marktplatz für Termine und zugleich eine Software, mit der Betriebe (zum Beispiel Friseursalons, Kosmetik- und Nagelstudios oder Spas) ihre Termine verwalten. Deshalb gibt es zwei Rollen:

• TERme ist selbst verantwortlich für die Plattform: Benutzerkonten, Anmeldung, Suche und Anbieterseiten, die Vermittlung von Buchungen, Zahlungsabwicklung über Stripe, Bewertungen, Nachrichten zum Termin, Support, Sicherheit und Missbrauchsschutz sowie Meldungen rechtswidriger Inhalte.
• Der Betrieb ist selbst verantwortlich für die Erbringung der gebuchten Leistung und für seine eigene Kundenverwaltung: Kundenkartei, Notizen, Terminhistorie in seinem Bereich, von ihm eingetragene Termine, seine Formulare, seine Werbe-E-Mails an dich und die Daten seiner Mitarbeitenden. Für diese Daten arbeitet TERme als Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage unseres Auftragsverarbeitungsvertrags. Details findest du in Abschnitt 17.

Wenn du deine Rechte zu Daten geltend machen möchtest, für die ein Betrieb verantwortlich ist, wende dich am besten direkt an ihn. Du kannst dich aber auch an uns wenden; wir leiten deine Anfrage weiter und unterstützen den Betrieb.

3. Aufruf von Website und App

Wenn du TERme aufrufst, verarbeiten unsere Server technisch notwendige Verbindungsdaten: deine IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse, die zuvor besuchte Seite (Referrer), Statuscode und übertragene Datenmenge sowie Angaben zu Browser und Betriebssystem (User-Agent).

• Zweck: Auslieferung der Inhalte, stabiler Betrieb, Fehlersuche sowie Erkennung und Abwehr von Angriffen und Missbrauch.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist ein sicherer und funktionierender Dienst.
• Missbrauchsschutz: Um Formulare und Schnittstellen vor massenhaften Anfragen zu schützen, begrenzen wir die Zahl der Anfragen pro Quelle. Dafür verwenden wir die IP-Adresse nur in pseudonymisierter Form, die sich nicht in die IP-Adresse zurückrechnen lässt. Diese Werte werden nach wenigen Stunden verworfen.
• Anwendungsprotokolle: Für die Fehleranalyse protokolliert unser Server Abläufe, etwa die aufgerufene Funktion, Zeitpunkt, Dauer, Fehlermeldungen und gegebenenfalls deine interne Nutzerkennung, aber keine IP-Adresse. Diese Protokolle löschen wir nach 90 Tagen.
• Speicherdauer der Verbindungsdaten: Protokolle mit IP-Adresse bewahren wir nur so lange auf, wie es für die genannten Zwecke erforderlich ist, und löschen sie danach.

Die Verbindung zu TERme ist mit TLS verschlüsselt.

4. Cookies und ähnliche Technologien

Wir verwenden nur Speicherungen, die für den Betrieb von TERme unbedingt erforderlich sind, sowie – nur mit deiner Einwilligung – ein Cookie für eine Startseite nach deinen Buchungen und die Skripte der externen Anmeldedienste von Google, Apple und Facebook. Statistik-Cookies und Werbe-Cookies von Dritten setzen wir nicht ein. Alle Einzelheiten, die Speicherdauer und die Möglichkeit, deine Wahl zu ändern, findest du in unserer Cookie-Richtlinie.

5. Kundenkonto

Für Buchungen brauchst du ein Konto. Bei der Registrierung bestätigst du deine E-Mail-Adresse mit einem Code, den wir dir per E-Mail schicken.

• Daten: Vor- und Nachname, E-Mail-Adresse, Passwort (wir speichern es nur in einer Form, aus der es sich nicht zurückrechnen lässt), auf Wunsch ein Profilbild, deine Telefonnummer, wenn du sie bei einer Buchung angibst, deine E-Mail-Einstellungen, Zeitpunkt und Version deiner Zustimmung zu unseren AGB sowie technische Angaben zu deinen Anmeldesitzungen.
• Zweck: Bereitstellung deines Kontos, Anmeldung, Verwaltung deiner Termine und Einstellungen.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag mit dir).
• Speicherdauer: solange dein Konto besteht. Wenn du dein Konto deaktivierst, bleiben die Daten gespeichert, damit du es wiederherstellen kannst, bis du die Löschung verlangst. Wie du dein Konto löschst, erklären wir unter Datenlöschung.

6. Anmeldung mit Google, Apple oder Facebook

Du kannst dich statt mit E-Mail und Passwort auch mit deinem Konto bei Google, Apple oder Facebook anmelden. Das Anmeldefenster des Anbieters öffnen wir, und das dafür nötige Skript von Apple laden wir, erst wenn du in die Kategorie „Externe Anmeldung“ eingewilligt hast (siehe Cookie-Richtlinie). Ohne Einwilligung siehst du an ihrer Stelle einen Platzhalter; klickst du darauf, erteilst du die Einwilligung und die Anmeldung startet.

• Daten, die wir erhalten: eine Kennung deines Kontos beim Anbieter, deinen Namen und deine E-Mail-Adresse; bei Google zusätzlich dein Profilbild, sofern du eines hinterlegt hast. Von Facebook fragen wir nur dein öffentliches Profil und deine E-Mail-Adresse ab; ein Facebook-Profilbild übernehmen wir nicht. Apple übermittelt den Namen nur bei der ersten Anmeldung. Wenn du bei Apple „E-Mail-Adresse verbergen“ wählst, erhalten wir nur eine anonyme Weiterleitungsadresse von Apple; unsere E-Mails an diese Adresse leitet Apple an dich weiter.
• Zweck: Anmeldung und Anlegen oder Zuordnen deines TERme-Kontos. Passwörter oder Zugangsdaten deines Kontos beim Anbieter erhalten wir nicht.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die Anmeldung; für das Öffnen der Anbieter-Anmeldung deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 165 Abs. 3 TKG 2021).
• Speicherdauer: wie beim Kundenkonto.

Die Anbieter verarbeiten bei der Anmeldung eigenverantwortlich Daten, etwa deine IP-Adresse und Angaben zu deinem Browser, und können die Anmeldung deinem Konto bei ihnen zuordnen:

• Google Ireland Limited, Dublin, Irland – Datenschutzerklärung von Google
• Apple Distribution International Ltd., Cork, Irland – Datenschutzrichtlinie von Apple
• Meta Platforms Ireland Limited, Dublin, Irland – Datenschutzrichtlinie von Meta

Soweit beim Laden des Facebook-SDK Daten an Meta übermittelt werden, sind wir mit Meta Platforms Ireland Limited für diese Erhebung und Übermittlung gemeinsam verantwortlich (Art. 26 DSGVO). Die weitere Verarbeitung verantwortet Meta allein. Die Vereinbarung dazu ist der Nachtrag für Verantwortliche von Meta; deine Rechte kannst du auch direkt bei Meta geltend machen.

Wie du TERme den Zugriff bei Google, Apple oder Facebook wieder entziehst, steht unter Datenlöschung.

7. Suche, Karte und Anbieterseiten

Für die Suche verarbeiten wir deine Suchbegriffe, Filter, den gewählten Ort und Zeitraum, um passende Betriebe und freie Termine anzuzeigen. Wenn du auf der Startseite einen Ort auswählst, merken wir ihn uns in einem Cookie (siehe Cookie-Richtlinie). Wir legen aus deinen Suchen kein Nutzerprofil an.

Suchmaschine, Ortssuche und Kartenkacheln betreiben wir selbst auf unseren eigenen Servern. Beim Anzeigen der Karte wird daher keine Verbindung zu Dritten aufgebaut. Die Karten beruhen auf Daten von OpenStreetMap.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (unser Interesse, eine funktionierende Suche anzubieten) und, wenn du angemeldet bist, Art. 6 Abs. 1 lit. b DSGVO.

Wie wir die Reihenfolge der Suchergebnisse festlegen, erklären wir unter Transparenz.

Startseite nach deinen Buchungen

Wenn du angemeldet bist und in die Kategorie „Personalisierung“ eingewilligt hast, zeigt dir die Startseite Betriebe, die zu deinen Buchungen passen, auch gesponserte.

• Zweck: eine Startseite, die zu dir passt.
• Daten: die Arten der Betriebe und das Bundesland deiner eigenen Buchungen. Wir berechnen das bei jedem Abruf aus deinen Buchungen und speichern dafür auf unserem Server nichts zusätzlich. Das Ergebnis legt die App im Cookie „terme_for_you“ auf deinem Gerät ab (siehe Cookie-Richtlinie).
• Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 165 Abs. 3 TKG 2021).
• Widerruf: jederzeit über „Cookie-Einstellungen“, mit Wirkung für die Zukunft. Dann löschen wir das Cookie, und die Startseite zeigt dir Betriebe ohne Bezug zu deinen Buchungen.

8. Buchungen

Wenn du einen Termin buchst, verarbeiten wir die Angaben zur Buchung: Betrieb und Standort, gewählte Leistungen und Optionen, Mitarbeiterin oder Mitarbeiter, Datum und Uhrzeit, Preis, Zahlungsart und -status, deinen Namen, deine E-Mail-Adresse, auf Wunsch deine Telefonnummer und gegebenenfalls deine Antworten in Formularen des Betriebs. Später kommen Änderungen, Stornierungen und der Status des Termins hinzu (zum Beispiel wahrgenommen oder nicht erschienen). Dazu gehören auch Guthaben und Geschenkkarten, die du bei einem Betrieb hast.

• Zweck: Vermittlung, Bestätigung und Verwaltung deiner Buchung; Übermittlung an den Betrieb, damit er die Leistung erbringen kann; Buchungsbestätigungen, Änderungsmitteilungen und Terminerinnerungen per E-Mail und in deinem Konto.
• Empfänger: Der Betrieb erhält die Angaben, die er für deinen Termin braucht. Betriebe können für dich als bestehende Kundin oder bestehenden Kunden auch selbst Termine eintragen, etwa nach einem Anruf.
• Kalender des Betriebs: Hat der Betrieb oder die zuständige Mitarbeiterin bzw. der zuständige Mitarbeiter einen Google- oder Outlook-Kalender verbunden oder ein Kalenderabo eingerichtet, übertragen wir im Auftrag des Betriebs Termindaten dorthin (siehe Abschnitt 16). Welche Angaben das sind – etwa Leistung, Zeit, Buchungsnummer und gegebenenfalls dein Name –, legt der Betrieb fest.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vermittlung und Durchführung des Vertrags), Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Aufbewahrungspflichten).
• Speicherdauer: Buchungsdaten bewahren wir so lange auf, wie sie für die Abwicklung und für mögliche Ansprüche nötig sind, in der Regel bis zum Ablauf der Verjährungsfrist von drei Jahren nach dem Termin. Unterlagen, die für Buchhaltung und Steuer relevant sind, bewahren wir sieben Jahre auf (§ 132 BAO).

In der Web-App und in unseren mobilen Apps kannst du zusätzlich Terminerinnerungen auf deinem Gerät einschalten. Diese Einstellung wird nur lokal auf deinem Gerät gespeichert.

Termine für eine andere Person

Auf der Shop-Seite kannst du einen Termin auch für eine andere Person buchen. Dann gibst du uns ihren Vor- und Nachnamen und auf Wunsch ihre Telefonnummer und E-Mail-Adresse. Du bleibst Vertragspartnerin oder Vertragspartner; Bestätigungen, Vertragsunterlagen und Erinnerungen gehen weiterhin an dich.

• Zweck: Der Betrieb soll wissen, wer zum Termin kommt, und die Person bei Rückfragen erreichen können. Hast du eine E-Mail-Adresse angegeben, schicken wir der Person selbst eine Terminbestätigung, eine Erinnerung und eine Mitteilung, wenn sich der Termin ändert oder abgesagt wird, jeweils ohne Preis, Vertragsunterlagen oder Werbung.
• Herkunft: Diese Angaben stammen von der Person, die den Termin gebucht hat.
• Empfänger: Der Betrieb erhält den Namen und gegebenenfalls die Telefonnummer, nicht die E-Mail-Adresse.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung der Buchung) und für die E-Mails an die Person unser berechtigtes Interesse, sie über ihren eigenen Termin zu informieren (Art. 6 Abs. 1 lit. f DSGVO). Die Person kann diesen E-Mails jederzeit widersprechen (Abschnitt 23).
• Speicherdauer: Name, Telefonnummer und E-Mail-Adresse der Person löschen wir drei Jahre nach dem Termin.

9. Zahlungen über Stripe

Verlangt ein Betrieb eine Vorauszahlung oder Anzahlung, bezahlst du über eine Zahlungsseite von Stripe (Stripe Checkout). Deine Zahlungsdaten wie Kartennummer oder Kontodaten gibst du direkt bei Stripe ein; wir erhalten sie nicht.

• Anbieter: Stripe Payments Europe, Ltd., Dublin, Irland. Stripe verarbeitet die Zahlungsdaten in eigener Verantwortung, insbesondere für die Zahlungsabwicklung, zur Betrugsvorbeugung und zur Erfüllung gesetzlicher Pflichten, etwa zur Geldwäscheprävention. Mehr dazu in der Datenschutzerklärung von Stripe.
• Daten, die wir erhalten: Zahlungsstatus, Betrag, Währung, Zeitpunkt, Zahlungs- und Erstattungsstatus sowie Referenznummern von Stripe.
• Zweck: Abwicklung von Zahlungen und Erstattungen, Weiterleitung des Geldes an den Betrieb, Belege und Rechnungen, Buchhaltung.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, Art. 6 Abs. 1 lit. c DSGVO (steuer- und unternehmensrechtliche Pflichten).
• Speicherdauer: sieben Jahre für buchhaltungsrelevante Unterlagen (§ 132 BAO), sonst wie bei den Buchungsdaten.

10. Widerruf von Buchungen

Du kannst den Widerruf eines Vertrags über das Formular „Vertrag widerrufen“ erklären, das du in der Fußzeile jeder Seite findest. Informationen zu deinem Widerrufsrecht stehen in der Widerrufsbelehrung.

• Daten: dein Name, die Buchungs- oder Vertragsnummer, die E-Mail-Adresse für die Eingangsbestätigung und der Zeitpunkt deiner Erklärung.
• Zweck: Bearbeitung des Widerrufs, Eingangsbestätigung, Information des Betriebs und gegebenenfalls Erstattung. Zum Schutz vor Missbrauch begrenzen wir die Zahl der Erklärungen pro E-Mail-Adresse; dafür verwenden wir die Adresse nur in pseudonymisierter Form.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit dem Fern- und Auswärtsgeschäfte-Gesetz (FAGG), Art. 6 Abs. 1 lit. b DSGVO.
• Speicherdauer: zusammen mit den Buchungsdaten.

11. Nachrichten zum Termin

Zu einer Buchung kannst du mit dem Betrieb Nachrichten austauschen – ab der Buchung bis 14 Tage nach dem Termin.

• Daten: Inhalt der Nachrichten, Dateianhänge, Absenderseite, Zeitpunkt und Lesestatus.
• Empfänger: der Betrieb und die Personen, die bei ihm für deinen Termin zuständig sind.
• Kontrolle durch TERme: Unsere Plattform-Administration kann Nachrichteninhalte nur über einen eigenen, protokollierten Zugang einsehen. Das ist nur mit dokumentierter Begründung möglich, etwa zur Aufklärung von Missbrauch, zum Schutz von Personen oder wenn wir gesetzlich dazu verpflichtet sind. Zum Schutz anderer können wir einzelne Nachrichten ausblenden.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für die Kontrolle Art. 6 Abs. 1 lit. f DSGVO (Sicherheit der Plattform) und Art. 6 Abs. 1 lit. c DSGVO.
• Speicherdauer: zusammen mit den Buchungsdaten.

12. Bewertungen

Bewerten kannst du einen Betrieb nur nach einem abgeschlossenen Termin, einmal pro Buchung. Jede Bewertung prüfen wir, bevor sie veröffentlicht wird.

• Daten: Sternebewertung, optionaler Text, Betrieb und Standort, Zeitpunkt sowie dein Name aus deinem Konto. Deine Bewertung kann in die Durchschnittsbewertung der Mitarbeiterin oder des Mitarbeiters einfließen, die oder der dich betreut hat.
• Öffentlich sichtbar: Sterne, Text, Datum und dein Vorname mit dem ersten Buchstaben deines Nachnamens, zum Beispiel „Anna M.“. Ist kein Name hinterlegt oder wurde dein Konto gelöscht, erscheint „Kundin oder Kunde“. Deine E-Mail-Adresse, deine Buchungsnummer und interne Kennungen veröffentlichen wir nie.
• Antworten der Betriebe: Der Betrieb sieht deine Bewertung und kann öffentlich darauf antworten.
• Prüfung: Wir können Bewertungen ablehnen, ausblenden oder löschen, wenn sie gegen unsere Bewertungsrichtlinien oder gegen Gesetze verstoßen. Die Gründe halten wir intern fest.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bewertungsfunktion als Teil unseres Dienstes) und Art. 6 Abs. 1 lit. f DSGVO (unser Interesse an echten, rechtmäßigen Bewertungen).
• Speicherdauer: solange die Bewertung veröffentlicht ist. Wenn du eine veröffentlichte Bewertung entfernen lassen möchtest – auch im Zusammenhang mit der Löschung deines Kontos –, schreib uns; wir löschen sie dann.

13. Hilfe und Support

Wenn du uns über die Hilfe in deinem Konto oder per E-Mail kontaktierst, verarbeiten wir deine Anfrage, die gewählte Kategorie, gegebenenfalls die betroffene Buchung, deine Kontaktdaten und den Verlauf der Unterhaltung. Unser Support-System betreiben wir selbst auf unseren eigenen Servern.

• Zweck: Beantwortung und Bearbeitung deines Anliegens.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, wenn dein Anliegen dein Konto oder eine Buchung betrifft, sonst Art. 6 Abs. 1 lit. f DSGVO (unser Interesse, Anfragen zu beantworten).
• Speicherdauer: bis dein Anliegen erledigt ist und danach so lange, wie es für Rückfragen oder mögliche Ansprüche nötig ist.

14. E-Mails und Push-Mitteilungen

Mitteilungen zu Konto und Buchungen

Wir schicken dir E-Mails, die für die Nutzung nötig sind: Bestätigungscodes, Passwort-Zurücksetzung, Buchungsbestätigungen, Änderungen, Stornierungen, Terminerinnerungen, Zahlungsmitteilungen, Hinweise auf neue Nachrichten und Einladungen ins Team eines Betriebs. Für den Versand nutzen wir Amazon Simple Email Service (Amazon SES) in der AWS-Region Frankfurt. Um die Zustellbarkeit zu sichern, speichern wir, ob eine E-Mail zugestellt wurde, nicht zustellbar war oder als Spam gemeldet wurde.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für die Zustellstatus Art. 6 Abs. 1 lit. f DSGVO.

Push-Mitteilungen in den Apps

In unseren Apps für Android und iOS kannst du Mitteilungen aufs Handy erlauben, etwa Terminerinnerungen, Änderungen an Terminen und neue Nachrichten, in der App für Betriebe auch neue Buchungen und Bewertungen. Die App meldet dein Handy dafür erst an, wenn du Mitteilungen in der App erlaubst.

• Dienste: Für die Zustellung nutzen wir Firebase Cloud Messaging von Google. Auf iPhones gibt Google die Mitteilung an den Apple Push Notification service von Apple weiter, der sie zustellt. Andere Firebase-Dienste, etwa für Statistik, nutzen wir nicht.
• Was übermittelt wird: die Registrierungs-ID deines Handys, Titel und Text der Mitteilung (etwa Leistung, Uhrzeit, Name des Betriebs oder der Anfang einer Nachricht) sowie technische Angaben, welche Seite der App sich beim Antippen öffnet und zu welchem Termin die Mitteilung gehört; bei Terminerinnerungen zusätzlich der Link auf den öffentlichen Kartenausschnitt des Betriebs, den das Handy von unserem Server lädt. Antwortest du direkt aus einer Mitteilung, geht deine Antwort wie in der App über unseren Server an den Termin.
• Was wir speichern: für jedes Handy die Registrierungs-ID, welche App und welches Betriebssystem, die Sprache, die Mitteilungen, die du eingeschaltet hast, und wann sich die App zuletzt gemeldet hat; für jede Mitteilung, ob wir sie an Google übergeben konnten.
• Zweck: nur die Mitteilungen, die du auf diesem Handy erlaubt hast. Für Werbung nutzen wir Push-Mitteilungen nie.
• Ausschalten: jederzeit auf der Seite „Mitteilungen“ der App (in der Kunden-App unter Profil, in der App für Betriebe unter Einstellungen oder Mein Profil) oder in den Einstellungen deines Handys.
• Abmelden: Wenn du dich in der App abmeldest, löschen wir die Registrierung dieses Handys, und es bekommt keine Mitteilungen mehr.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Speicherdauer: bis du dich auf dem Handy abmeldest oder dein Konto löschst, spätestens 60 Tage nachdem du die App zuletzt geöffnet hast.

Newsletter von TERme

Mit dem Newsletter von TERme schicken wir dir Neuigkeiten und Angebote von TERme per E-Mail, aber nur, wenn du ausdrücklich zugestimmt hast: als Kundin oder Kunde mit dem Häkchen bei der Registrierung oder dem Schalter „Newsletter von TERme“ in den Einstellungen deines Kontos, als Betrieb mit dem Häkchen bei der Registrierung. Beides ist ab Werk aus. Wir speichern Zeitpunkt, Herkunft und Wortlaut deiner Wahl als Nachweis. Die Werbe-E-Mails einzelner Betriebe sind davon getrennt.

• Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 174 TKG 2021).
• Abbestellen: jederzeit mit Wirkung für die Zukunft, über den Link „Abbestellen“ in jedem Newsletter, ohne Anmeldung, oder mit dem Schalter in deinem Konto.
• Speicherdauer: den Nachweis deiner Wahl, solange dein Konto besteht und danach so lange, wie der Nachweis nötig ist.

Angebote und Bewertungsanfragen der Betriebe

Betriebe können dir über TERme E-Mails mit Angeboten, Neuigkeiten und Bitten um eine Bewertung schicken. Verantwortlich ist dabei der jeweilige Betrieb; TERme verschickt die E-Mails in seinem Auftrag mit von uns geprüften Vorlagen.

• Mit Einwilligung: Wenn du dich bei einer Buchung neu registrierst, kannst du zustimmen, dass dir dieser Betrieb Angebote und Neuigkeiten per E-Mail schicken darf (Art. 6 Abs. 1 lit. a DSGVO, § 174 TKG 2021).
• Als bestehende Kundin oder bestehender Kunde: Hast du bei einem Betrieb gebucht, kann er dir auch ohne ausdrückliche Einwilligung E-Mails zu eigenen ähnlichen Leistungen schicken, solange du nicht widersprochen hast (§ 174 Abs. 4 TKG 2021, Art. 6 Abs. 1 lit. f DSGVO).
• Abmelden: Jede dieser E-Mails enthält einen Link zum Abmelden, der ohne Anmeldung funktioniert. In deinem Konto kannst du unter „Angebote & Bewertungsanfragen per E-Mail“ für jeden Betrieb einzeln entscheiden. Ein Widerspruch gilt für alle Standorte des Betriebs und auch für Bewertungsanfragen.
• Speicherdauer: Deine Wahl speichern wir als Nachweis, solange du Kundin oder Kunde des Betriebs bist und danach so lange, wie der Nachweis nötig ist.

15. Konten für Betriebe und Mitarbeitende

Betriebskonto und Shop-Seite

• Daten: E-Mail-Adresse, Name und Passwort der Person, die den Betrieb registriert; Zeitpunkt und Version der Zustimmung zu den AGB für Anbieter und zum Auftragsverarbeitungsvertrag sowie die freiwillige Wahl zu Neuigkeiten von TERme; Angaben zum Betrieb wie Name, Standorte, Öffnungszeiten, Leistungen, Preise und Bilder; die rechtlichen Angaben des Betriebs (zum Beispiel Rechtsform, Anschrift, UID-Nummer, Firmenbuchnummer, verantwortliche Person, Gewerbebehörde).
• Veröffentlichung: Die Angaben zum Betrieb und seine rechtlichen Angaben erscheinen auf der öffentlichen Shop-Seite, letztere unter „Impressum des Anbieters“. Ist der Betrieb eine natürliche Person, sind das auch personenbezogene Daten.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag mit dem Betrieb), Art. 6 Abs. 1 lit. c DSGVO (Informationspflichten nach E-Commerce-Gesetz und Mediengesetz; Nachweis der Zustimmung).

Abonnement und Auszahlungen

Das Abonnement für TERme und seine Rechnungen wickeln wir über Stripe ab. Damit ein Betrieb Zahlungen seiner Kundinnen und Kunden erhalten kann, richtet er ein Konto bei Stripe ein (Stripe Connect). Die dafür nötigen Angaben zur Identität und zum Unternehmen erhebt und prüft Stripe direkt und in eigener Verantwortung. Wir erhalten den Status des Stripe-Kontos und die Angaben, die wir für Zahlungen, Auszahlungen und Rechnungen brauchen.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. c DSGVO.
• Speicherdauer: solange der Vertrag besteht; buchhaltungsrelevante Unterlagen sieben Jahre (§ 132 BAO).

Mitarbeitende

Betriebe können Mitarbeitende per E-Mail einladen. Für ihr eigenes Konto ist TERme verantwortlich (wie in Abschnitt 5). Angaben zur Arbeit im Betrieb – etwa Name, Bild, Rolle, Arbeitszeiten, Abwesenheiten und zugewiesene Termine – verarbeiten wir im Auftrag des Betriebs. Name und Bild erscheinen auf der Shop-Seite, wenn der Betrieb das so einrichtet.

16. Kalenderverbindungen für Mitarbeitende

Mitarbeitende und Betriebe können ihren Google Kalender oder Outlook-Kalender mit TERme verbinden oder ein privates Kalenderabo, zum Beispiel für Apple Kalender, einrichten. Das ist freiwillig und wird ausdrücklich gestartet.

• Was wir in den Kalender schreiben: Termine aus TERme mit den Angaben, die in den Kalendereinstellungen ausgewählt sind – etwa Leistung, Uhrzeit, Buchungsnummer und optional Name oder E-Mail-Adresse der Kundin oder des Kunden.
• Was wir aus dem Kalender lesen: nur Beginn und Ende belegter Zeiten, damit zu diesen Zeiten keine Buchungen angeboten werden. Titel, Inhalte oder Teilnehmende anderer Einträge speichern wir nicht.
• Google: TERme legt in deinem Google-Konto einen eigenen Kalender „TERme“ an und trägt Termine nur dort ein. Aus Google lesen wir nur die belegten Zeiten deines Hauptkalenders, ohne Titel, Inhalte oder Teilnehmende. Dafür fordern wir nur die Berechtigungen „calendar.app.created“ (den eigenen Kalender „TERme“ anlegen und verwalten) und „calendar.freebusy“ (belegte Zeiten lesen) an, getrennt von der Anmeldung mit Google. Auf andere Kalender, E-Mails, Kontakte oder Dateien greifen wir nicht zu.
• Microsoft: Für Outlook nutzen wir die Kalenderberechtigungen von Microsoft Graph. Anbieter ist Microsoft Ireland Operations Limited, Dublin, Irland – Datenschutzerklärung von Microsoft.
• Kalenderabo: Das Abo ist eine private, zufällig erzeugte Adresse. Sie lässt sich jederzeit sperren oder neu erzeugen.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO gegenüber der Person, die die Verbindung einrichtet; für Kundendaten im Kalender handeln wir im Auftrag des Betriebs.
• Speicherdauer: Die Zugangsberechtigung speichern wir, bis die Verbindung getrennt oder die Berechtigung entzogen wird.

Die Nutzung und Übertragung von Informationen, die TERme über Google-APIs erhält, an andere Apps entspricht der Google API Services User Data Policy, einschließlich der Anforderungen zur eingeschränkten Nutzung („Limited Use“). Wir nutzen Kalenderdaten aus Google ausschließlich, um Termine zwischen TERme und deinem Kalender abzugleichen. Wir verwenden sie nicht für Werbung, verkaufen sie nicht, nutzen sie nicht zum Training von KI-Modellen und geben sie nicht weiter, außer soweit es für diese Funktion nötig oder gesetzlich vorgeschrieben ist. Menschen lesen diese Daten nur mit deiner ausdrücklichen Zustimmung, wenn es zur Sicherheit oder Missbrauchsaufklärung nötig ist oder wenn das Gesetz es verlangt.

17. Daten, die TERme im Auftrag der Betriebe verarbeitet

Für folgende Daten ist der jeweilige Betrieb verantwortlich; TERme verarbeitet sie nur nach seinen Weisungen auf Grundlage des Auftragsverarbeitungsvertrags:

• seine Kundenkartei, Notizen und Terminhistorie zu seinen Kundinnen und Kunden;
• Termine, die der Betrieb selbst einträgt;
• seine Formulare, etwa Anamnese- oder Einverständnisbögen, einschließlich hochgeladener Dateien, auch wenn du sie ohne Konto ausfüllst;
• seine Angebots- und Bewertungs-E-Mails an dich (siehe Abschnitt 14);
• die Daten seiner Mitarbeitenden zur Arbeitsorganisation.

Zweck, Rechtsgrundlage und Speicherdauer legt der Betrieb fest. Ausgefüllte Formulare kann der Betrieb nach 730 Tagen löschen; ob und wann er das tut, entscheidet er selbst. Welche Unterauftragsverarbeiter wir dafür einsetzen, steht in der Liste der Unterauftragsverarbeiter.

18. Meldungen von Inhalten

Über Inhalte melden kannst du uns Inhalte melden, die du für rechtswidrig hältst (Art. 16 Digital Services Act).

• Daten: dein Name und deine E-Mail-Adresse (bei Meldungen zu Darstellungen sexuellen Kindesmissbrauchs freiwillig), der gemeldete Inhalt und sein Ort, die Kategorie, deine Begründung, deine Bestätigung, dass die Angaben richtig sind, sowie Bearbeitungsverlauf und Entscheidung.
• Zweck: Prüfung der Meldung, Eingangsbestätigung, Mitteilung der Entscheidung und Begründung gegenüber der betroffenen Person.
• Weitergabe: Deinen Namen und deine E-Mail-Adresse geben wir an die Person, deren Inhalt du meldest, grundsätzlich nicht weiter. Besteht der Verdacht einer Straftat, die das Leben oder die Sicherheit von Personen bedroht, informieren wir die zuständigen Behörden (Art. 18 DSA).
• Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 16 bis 18 DSA sowie Art. 6 Abs. 1 lit. f DSGVO (Schutz der Plattform und ihrer Nutzerinnen und Nutzer).
• Speicherdauer: drei Jahre nach der Entscheidung.

19. Nachweise über Einwilligungen

Damit wir nachweisen können, wozu du eingewilligt hast (Art. 7 Abs. 1 DSGVO), speichern wir:

• deine Zustimmung zu AGB, AGB für Anbieter und Auftragsverarbeitungsvertrag sowie deine Wahl zu Neuigkeiten und zu E-Mails von Betrieben, jeweils mit Version, Herkunft (zum Beispiel Registrierung oder Buchung) und Zeitpunkt;
• deine Wahl im Cookie-Banner: eine zufällige Einwilligungs-ID, die gewählten Kategorien, die Version der Cookie-Richtlinie und des Bannertextes, die Art der Entscheidung, ob du sie auf der Website oder in der App getroffen hast, den Zeitpunkt und, wenn du angemeldet bist, dein Konto. Deine IP-Adresse und deinen Browser speichern wir dabei nicht.

Für beide Nachweise gilt:

• Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 7 Abs. 1 DSGVO.
• Speicherdauer: Cookie-Nachweise drei Jahre; sonstige Nachweise, solange das Konto besteht und danach, solange wir die Einwilligung nachweisen müssen.

20. Empfänger und Dienstleister

Wir geben Daten nur weiter, wenn es für die beschriebenen Zwecke nötig ist, eine Rechtsgrundlage besteht oder du eingewilligt hast. Wir verkaufen keine Daten.

• Betriebe: erhalten die Daten zu deinen Buchungen, Nachrichten und Bewertungen, die sie betreffen.
• netcup GmbH, Karlsruhe, Deutschland: Hosting unserer Server in der Europäischen Union (Auftragsverarbeiter).
• Amazon Web Services EMEA SARL, Luxemburg: E-Mail-Versand über Amazon SES in der Region Frankfurt (Auftragsverarbeiter).
• BunnyWay d.o.o., Ljubljana, Slowenien: Speicherung von Bildern und Dateien in einem Rechenzentrum in Deutschland, Auslieferung von Bildern über ein Content-Delivery-Netz mit Standorten in Europa sowie Namensauflösung (DNS). Zugriffsprotokolle werden dort nur mit gekürzter IP-Adresse geführt (Auftragsverarbeiter).
• Stripe Payments Europe, Ltd., Dublin, Irland: Zahlungsabwicklung (eigenverantwortlich, siehe Abschnitt 9).
• Google, Apple und Meta: Anmeldung mit diesen Diensten (eigenverantwortlich, siehe Abschnitt 6).
• Google und Microsoft: Kalenderverbindungen, die Mitarbeitende oder Betriebe einrichten (siehe Abschnitt 16).
• Google und Apple: Zustellung von Push-Mitteilungen über Firebase Cloud Messaging und den Apple Push Notification service (siehe Abschnitt 14).
• Behörden, Gerichte und Berater: wenn wir rechtlich dazu verpflichtet sind oder es zur Durchsetzung oder Abwehr von Ansprüchen nötig ist, etwa an Steuerberater oder Rechtsanwälte, die zur Verschwiegenheit verpflichtet sind.

Suchmaschine, Karten und Ortssuche, Support-System und unsere interne Auswertungsdatenbank betreiben wir selbst auf unseren eigenen Servern; dafür werden keine Daten an Dritte übermittelt.

21. Übermittlung in Länder außerhalb der EU

Unsere Server und die oben genannten Auftragsverarbeiter verarbeiten Daten in der Europäischen Union. Einige Anbieter gehören zu Unternehmensgruppen mit Sitz in den USA, sodass eine Übermittlung dorthin nicht ausgeschlossen ist: Google LLC, Apple Inc., Meta Platforms, Inc., Stripe, Inc., Amazon Web Services, Inc. und Microsoft Corporation.

Für die USA hat die Europäische Kommission einen Angemessenheitsbeschluss erlassen (EU-US Data Privacy Framework). Die genannten Unternehmen sind danach zertifiziert; das kannst du in der offiziellen Liste nachprüfen. Soweit eine Übermittlung nicht davon erfasst ist, stützen sich die Anbieter auf Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO).

22. Speicherdauer im Überblick

Wir löschen Daten, sobald sie für ihren Zweck nicht mehr nötig sind und keine Aufbewahrungspflicht besteht. Im Überblick:

• Kontodaten: bis zur Löschung des Kontos;
• Buchungsdaten, Nachrichten und Widerrufe: solange für Abwicklung und mögliche Ansprüche nötig, in der Regel drei Jahre nach dem Termin;
• Buchhaltungs- und Steuerunterlagen: sieben Jahre (§ 132 BAO);
• Anwendungsprotokolle ohne IP-Adresse: 90 Tage;
• Werte für den Missbrauchsschutz: wenige Stunden;
• Datenexporte: sieben Tage nach der Erstellung;
• Registrierungen für Push-Mitteilungen: bis zur Abmeldung auf dem Handy, spätestens 60 Tage nach dem letzten Öffnen der App;
• Nachweise über Cookie-Einwilligungen: drei Jahre;
• Meldungen von Inhalten: drei Jahre nach der Entscheidung;
• Formulare der Betriebe: nach Entscheidung des Betriebs, frühestens nach 730 Tagen löschbar.

Daten, die wir wegen gesetzlicher Pflichten aufbewahren müssen, sperren wir für jede andere Nutzung.

23. Deine Rechte

Du hast das Recht auf:

• Auskunft über die Daten, die wir über dich verarbeiten (Art. 15 DSGVO);
• Berichtigung unrichtiger Daten (Art. 16 DSGVO);
• Löschung (Art. 17 DSGVO);
• Einschränkung der Verarbeitung (Art. 18 DSGVO);
• Datenübertragbarkeit (Art. 20 DSGVO);
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Widerspruchsrecht (Art. 21 DSGVO): Verarbeiten wir Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO), kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen. Gegen Direktwerbung kannst du jederzeit ohne Angabe von Gründen widersprechen; dann verarbeiten wir deine Daten nicht mehr für diesen Zweck.

So nutzt du deine Rechte: Schreib uns an die E-Mail-Adresse in Abschnitt 1. Vieles kannst du auch direkt in deinem Konto erledigen: Profil und Kontaktdaten ändern, unter „Datenschutz & Daten“ einen Datenexport als ZIP-Datei erstellen (er steht sieben Tage zum Download bereit), E-Mails von Betrieben abbestellen, dein Konto deaktivieren oder dauerhaft löschen. Deine Cookie-Einstellungen änderst du über den Link „Cookie-Einstellungen“.

Wir antworten innerhalb eines Monats. In schwierigen Fällen kann sich die Frist um bis zu zwei weitere Monate verlängern; darüber informieren wir dich. Damit niemand fremde Daten abfragt, können wir dich bitten, deine Identität zu bestätigen. Schick uns niemals dein Passwort.

Beschwerde: Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren. In Österreich ist das die Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, E-Mail: dsb@dsb.gv.at, Website: dsb.gv.at. Du kannst dich auch an die Aufsichtsbehörde in dem EU-Mitgliedstaat wenden, in dem du wohnst oder arbeitest.

24. Musst du uns Daten geben?

Für ein Konto brauchen wir deinen Namen, deine E-Mail-Adresse und ein Passwort oder eine Anmeldung über Google, Apple oder Facebook. Für eine Buchung brauchen wir außerdem die Angaben zum Termin. Ohne diese Daten kannst du kein Konto anlegen oder nicht buchen. Alles andere, etwa Telefonnummer, Profilbild, Bewertungen oder E-Mails mit Angeboten, ist freiwillig. Eine gesetzliche Pflicht, uns Daten zu geben, besteht nicht; in bestimmten Fällen, etwa für Rechnungen, sind wir aber gesetzlich verpflichtet, Daten zu verarbeiten.

25. Keine automatisierten Entscheidungen

Wir treffen keine Entscheidungen, die ausschließlich auf einer automatisierten Verarbeitung beruhen und dir gegenüber rechtliche Wirkung entfalten oder dich ähnlich erheblich beeinträchtigen (Art. 22 DSGVO). Wir erstellen kein Profiling zu Werbezwecken. Die Reihenfolge der Suchergebnisse wird automatisch berechnet; wie das funktioniert, erklären wir unter Transparenz. Meldungen und Bewertungen prüfen bei uns Menschen.

26. Mindestalter

TERme richtet sich an Personen ab 14 Jahren. Wenn du jünger bist, darfst du kein Konto anlegen. Erfahren wir, dass ein Konto einer Person unter 14 Jahren gehört, löschen wir es.

27. Datensicherheit

Wir schützen deine Daten mit technischen und organisatorischen Maßnahmen. Dazu gehören verschlüsselte Verbindungen, Passwörter, die wir nur in nicht rückrechenbarer Form speichern, eine verschlüsselt im Browser abgelegte Anmeldesitzung, Zugriffsrechte nach dem Prinzip „so wenig wie nötig“, protokollierte Zugriffe der Plattform-Administration und geschützte Dateien wie Rechnungen oder Formular-Uploads, die nur nach Prüfung der Berechtigung abrufbar sind.

28. Änderungen dieser Datenschutzerklärung

Wir passen diese Erklärung an, wenn sich TERme oder die Rechtslage ändert. Die aktuelle Fassung und das Datum, ab dem sie gilt, siehst du oben auf dieser Seite. Frühere Fassungen findest du am Ende der Seite. Über wesentliche Änderungen informieren wir dich zusätzlich in geeigneter Weise.