Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Sviatoslav Karapka
Bahnstraße 36
16727 Velten
Deutschland
E-Mail: info@lushly.world
Telefon: +49 152 0677 7974

2. Allgemeines zur Datenverarbeitung

Lushly ist ein Online-Marktplatz, der Endkunden mit unabhängigen Beauty- und Wellness-Salons verbindet. Wir verarbeiten personenbezogene Daten unserer Nutzer ausschließlich, soweit dies zur Bereitstellung einer funktionsfähigen Website sowie unserer Inhalte und Leistungen erforderlich ist.

Die Verarbeitung personenbezogener Daten unserer Nutzer erfolgt regelmäßig nur nach Einwilligung des Nutzers oder zur Erfüllung eines Vertrages. Eine Ausnahme gilt in solchen Fällen, in denen eine vorherige Einholung einer Einwilligung aus tatsächlichen Gründen nicht möglich ist und die Verarbeitung der Daten durch gesetzliche Vorschriften gestattet ist.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. a (Einwilligung), lit. b (Vertragserfüllung), lit. c (rechtliche Verpflichtung) und lit. f DSGVO (berechtigtes Interesse).

3. Welche Daten wir erheben

3.1 Bei Registrierung als Kunde

• Vor- und Nachname
• E-Mail-Adresse
• Telefonnummer (optional)
• Passwort (verschlüsselt mit bcrypt gespeichert)
• Profilbild (optional, durch Nutzer hochgeladen oder via Google/Facebook bei OAuth-Anmeldung)
• Sprachpräferenz

3.2 Bei Registrierung als Salon / Meister

• Geschäftsname, Adresse, Telefon, E-Mail-Adresse
• Beschreibung, Fotos, Preise, Leistungen, Öffnungszeiten
• Bei Stripe-Aktivierung: Bankverbindung und steuerlich relevante Daten — gespeichert ausschließlich bei Stripe, nicht bei uns
• Master-Profile (Name, Foto, Sprachen, Erfahrung, Portfolio) — eingestellt durch den Salon-Betreiber

3.3 Bei einer Buchung

• Name, E-Mail-Adresse, Telefonnummer des buchenden Kunden
• Gewählte Leistung, Datum, Uhrzeit, Preis, Dauer
• Bei Beratungs-Anfragen (z.B. Tattoo): Beschreibung der Idee, Maße/Stelle am Körper, ggf. Referenzfotos
• Bei Online-Zahlung: keine Kartendaten bei uns — die Verarbeitung erfolgt ausschließlich durch Stripe (PCI-DSS Level 1 zertifiziert)
• Bei kostenpflichtigem Salon-Abonnement: Name, E-Mail-Adresse und Rechnungsanschrift zur Abrechnung sowie eine Kunden- und Abonnement-Kennung von Stripe. Zahlungsmittel (Karte, SEPA-Mandat) werden ausschließlich bei Stripe gespeichert
• Bewertungen (1–5 Sterne) und Kommentare nach abgeschlossener Buchung
• Chat-Nachrichten zwischen Kunde und Salon (über die plattforminterne Messaging-Funktion)

3.4 Automatisch erhobene Daten (Server-Logs)

• IP-Adresse (anonymisiert nach 7 Tagen)
• Browser-Typ und -Version, Betriebssystem
• Datum und Uhrzeit des Zugriffs
• Referrer-URL (zuvor besuchte Seite)
• Geografische Region (ungefähr, auf Stadt-Ebene basierend auf IP)
• Session-ID für Plattform-eigene Analytics (ohne persönlichen Bezug)

Diese Daten dienen der Sicherheit und der Plattform-eigenen Analyse (Bounce-Rate, Traffic-Quellen, Performance). Eine Übermittlung an externe Dienste wie Google Analytics oder Meta erfolgt ausschließlich, wenn der Nutzer im Cookie-Banner ausdrücklich zugestimmt hat (Analyse-Cookies für Google Analytics bzw. Marketing-Cookies für das Meta-Pixel).

3.5 Standortdaten (Geolocation)

Auf ausdrückliche Einwilligung des Nutzers (Browser-Permission "In der Nähe finden") wird der ungefähre Standort verwendet, um Salons in der Umgebung anzuzeigen. Der Standort wird ausschließlich clientseitig verarbeitet und nicht in unserer Datenbank gespeichert.

4. Zweck und Rechtsgrundlage der Verarbeitung

5. Weitergabe an Dritte (Auftragsverarbeiter)

Wir geben Daten ausschließlich in folgenden Fällen und auf Grundlage entsprechender Auftragsverarbeitungsverträge (AV-Verträge) gemäß Art. 28 DSGVO weiter:

• IONOS SE (Montabaur, Deutschland) — Hosting der Plattform. Server stehen in Deutschland. DSGVO-konform.
• Stripe Payments Europe, Ltd. (Dublin, Irland) — Zahlungsabwicklung. PCI-DSS Level 1 zertifiziert, DSGVO-konform. Stripe Datenschutz
• Buchender Salon — erhält Name, Kontakt und Buchungsdetails für die Vertragserfüllung. Salons sind eigenständige Verantwortliche im Sinne der DSGVO.
• Google Ireland Limited (Gemini API) — automatische Übersetzungen von UI-Texten und Salon-Beschreibungen. Es werden ausschließlich öffentliche Inhalte (z.B. Salon-Beschreibungen) übermittelt, keine persönlichen Daten der Endkunden. Google Datenschutz
• Groq, Inc. (USA) — AI-Insights für Salon-Inhaber. Es werden ausschließlich aggregierte und anonymisierte Statistiken übermittelt. Standard-Vertragsklauseln gemäß Art. 46 DSGVO sichern den Datenschutz.
• Meta Platforms Ireland Limited (Meta Pixel) — nur nach expliziter Einwilligung im Cookie-Banner. Wird ausschließlich für Marketing-Kampagnen eingesetzt. Meta Datenschutz
• Google Ireland Limited (Google Analytics 4) — nur nach ausdrücklicher Einwilligung im Cookie-Banner (Analyse-Cookies). Dient der anonymisierten Reichweiten- und Nutzungsanalyse; IP-Adressen werden gekürzt/anonymisiert. Datenübermittlung in die USA auf Grundlage des EU-US Data Privacy Framework und/oder der EU-Standardvertragsklauseln. Google Datenschutz
• SMTP-Provider (WP Mail SMTP-Anbieter) — Versand transaktionaler E-Mails (Buchungsbestätigungen, Erinnerungen, Passwort-Reset).
• n8n (self-hosted, EU) — Automatisierungs-Workflows. Server in der EU.

Eine darüber hinausgehende Weitergabe an Dritte findet nicht statt. Insbesondere verkaufen wir keine Daten.

5a. KI-Einsatz (Künstliche Intelligenz)

Wir setzen künstliche Intelligenz (KI) in zwei Bereichen ein:

1. Übersetzungen: Zur mehrsprachigen Bereitstellung unserer Inhalte nutzen wir das KI-System Google Gemini (Google Ireland Limited). Übersetzungen nicht-deutscher Inhalte können maschinell erstellt sein; maßgeblich ist stets die deutsche Originalfassung.

2. KI-Support-Chat: Unser Support-Chat (im Messenger und auf der Hilfe-Seite) wird von einem KI-Assistenten (Chatbot) beantwortet. Zu Beginn des Chats wirst du klar darauf hingewiesen, dass du mit einem KI-System kommunizierst (Art. 50 KI-VO). Für persönliche Hilfe kannst du dich jederzeit an info@lushly.world wenden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und lit. f DSGVO (berechtigtes Interesse an effizientem Support und mehrsprachiger Bereitstellung).

6. Cookies und vergleichbare Technologien

Wir verwenden ausschließlich technisch notwendige Cookies (Login-Sessions, Sicherheit, Cookie-Consent-Status, Sprach-Auswahl). Diese Cookies sind für den Betrieb der Plattform erforderlich und werden gemäß § 25 Abs. 2 TDDDG ohne Einwilligung gesetzt.

Marketing-Cookies (Meta Pixel) werden ausschließlich nach ausdrücklicher Einwilligung über unser Cookie-Banner gesetzt. Die Einwilligung kann jederzeit widerrufen werden.

Für die Plattform-eigene Analyse speichern wir zusätzlich anonymisierte Daten in unserer eigenen Datenbank (first-party).

Google Analytics 4. Mit deiner ausdrücklichen Einwilligung (Analyse-Cookies im Cookie-Banner) setzen wir Google Analytics 4 ein (Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Google Analytics verwendet Cookies, um die Nutzung der Website auszuwerten — etwa Seitenaufrufe, Verweildauer, verwendete Geräte und die ungefähre geografische Herkunft. IP-Adressen werden dabei anonymisiert bzw. gekürzt verarbeitet. Dabei können Daten an Server von Google – auch in den USA – übermittelt werden; die Übermittlung erfolgt auf Grundlage des EU-US Data Privacy Framework und/oder der EU-Standardvertragsklauseln gemäß Art. 46 DSGVO. Rechtsgrundlage ist deine Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO. Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft über die Cookie-Einstellungen widerrufen. Google Datenschutzerklärung

7. Speicherdauer

• Kundenkonto: bis zur Löschung durch den Nutzer
• Buchungsdaten: 10 Jahre (steuerrechtliche Aufbewahrungspflicht gemäß § 147 AO)
• Bewertungen: dauerhaft, bis Nutzer löscht (Pseudonymisierung möglich)
• Analytics-Sessions: 12 Monate
• Server-Logs: 30 Tage
• IP-Adressen: 7 Tage, danach Anonymisierung
• Chat-Nachrichten: bis zur Konto-Löschung
• E-Mail-Marketing-Einwilligung: bis Widerruf

8. Ihre Rechte als Betroffene

Als betroffene Person haben Sie jederzeit das Recht auf:

• Auskunft (Art. 15 DSGVO) — welche Daten wir über Sie verarbeiten
• Berichtigung (Art. 16 DSGVO) — Korrektur falscher Daten
• Löschung (Art. 17 DSGVO) — "Recht auf Vergessenwerden"
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO) — Daten in maschinenlesbarem Format
• Widerspruch (Art. 21 DSGVO) — gegen Verarbeitung auf Grundlage berechtigten Interesses
• Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO) — mit Wirkung für die Zukunft

Konto-Löschung ist jederzeit möglich unter: Mein Konto → Einstellungen
Anfragen zu Datenschutz-Rechten richten Sie bitte per E-Mail an: info@lushly.world

9. Beschwerderecht bei einer Aufsichtsbehörde

Sie haben gemäß Art. 77 DSGVO das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren — insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes.

Für uns zuständig ist:
Die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg
Stahnsdorfer Damm 77
14532 Kleinmachnow
Telefon: +49 33203 356-0
https://www.lda.brandenburg.de/

10. Datensicherheit

Wir verwenden SSL/TLS-Verschlüsselung (HTTPS) für die gesamte Datenübertragung. Passwörter werden mit bcrypt gehasht und niemals im Klartext gespeichert. Zahlungsdaten werden ausschließlich von Stripe verarbeitet (PCI-DSS Level 1). Backups werden verschlüsselt aufbewahrt.

11. Drittland-Übermittlung

Soweit Daten in Drittländer (insbesondere in die USA) übermittelt werden — etwa über Groq, das Meta-Pixel oder Google Analytics — geschieht dies auf Grundlage der EU-Standardvertragsklauseln gemäß Art. 46 DSGVO und/oder eines Angemessenheitsbeschlusses gemäß Art. 45 DSGVO (z.B. EU-US Data Privacy Framework). Wir prüfen die Empfänger sorgfältig.

12. Automatisierte Entscheidungen, Profiling

Wir setzen keine vollautomatisierten Entscheidungsprozesse mit rechtlicher Wirkung ein. Automatisch generierte Wochen-Insights für Salon-Inhaber dienen ausschließlich der Information und stellen keine rechtlich bindende Entscheidung dar.

13. Push-Benachrichtigungen (PWA)

Lushly ist eine Progressive Web App (PWA). Push-Benachrichtigungen werden nur nach ausdrücklicher Einwilligung des Nutzers (Browser-Permission) versendet. Die Einwilligung kann jederzeit in den Browser-Einstellungen widerrufen werden.

14. Social Logins (Google / Facebook OAuth)

Bei Anmeldung über Google oder Facebook werden uns folgende Daten übermittelt: Name, E-Mail-Adresse und Profilbild. Andere Daten Ihres Google-/Facebook-Profils werden nicht abgerufen. Es gelten zusätzlich die Datenschutzbestimmungen von Google bzw. Meta.

15. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung gelegentlich anzupassen, um sie an aktuelle rechtliche Anforderungen anzupassen oder um Änderungen unserer Leistungen umzusetzen. Die jeweils aktuelle Version ist stets auf dieser Seite einsehbar. Bei wesentlichen Änderungen werden registrierte Nutzer per E-Mail informiert.