Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Sviatoslav Karapka
Bahnstraße 36
16727 Velten
Deutschland
E-Mail: info@lushly.world
Telefon: +49 152 0677 7974

2. Allgemeines zur Datenverarbeitung

Lushly ist ein Online-Marktplatz, der Endkunden mit unabhängigen Beauty- und Wellness-Salons verbindet. Wir verarbeiten personenbezogene Daten unserer Nutzer ausschließlich, soweit dies zur Bereitstellung einer funktionsfähigen Website sowie unserer Inhalte und Leistungen erforderlich ist.

Die Verarbeitung personenbezogener Daten unserer Nutzer erfolgt regelmäßig nur nach Einwilligung des Nutzers oder zur Erfüllung eines Vertrages. Eine Ausnahme gilt in solchen Fällen, in denen eine vorherige Einholung einer Einwilligung aus tatsächlichen Gründen nicht möglich ist und die Verarbeitung der Daten durch gesetzliche Vorschriften gestattet ist.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. a (Einwilligung), lit. b (Vertragserfüllung), lit. c (rechtliche Verpflichtung) und lit. f DSGVO (berechtigtes Interesse).

3. Welche Daten wir erheben

3.1 Bei Registrierung als Kunde

• Vor- und Nachname
• E-Mail-Adresse
• Telefonnummer (optional)
• Passwort (verschlüsselt mit bcrypt gespeichert)
• Profilbild (optional, durch Nutzer hochgeladen oder via Google/Facebook bei OAuth-Anmeldung)
• Sprachpräferenz

3.2 Bei Registrierung als Salon / Meister

• Geschäftsname, Adresse, Telefon, E-Mail-Adresse
• Beschreibung, Fotos, Preise, Leistungen, Öffnungszeiten
• Bei Stripe-Aktivierung: Bankverbindung und steuerlich relevante Daten — gespeichert ausschließlich bei Stripe, nicht bei uns
• Master-Profile (Name, Foto, Sprachen, Erfahrung, Portfolio) — eingestellt durch den Salon-Betreiber

3.3 Bei einer Buchung

• Name, E-Mail-Adresse, Telefonnummer des buchenden Kunden
• Gewählte Leistung, Datum, Uhrzeit, Preis, Dauer
• Bei Beratungs-Anfragen (z.B. Tattoo): Beschreibung der Idee, Maße/Stelle am Körper, ggf. Referenzfotos
• Bei Online-Zahlung: keine Kartendaten bei uns — die Verarbeitung erfolgt ausschließlich durch Stripe (PCI-DSS Level 1 zertifiziert)
• Bei kostenpflichtigem Salon-Abonnement: Name, E-Mail-Adresse und Rechnungsanschrift zur Abrechnung sowie eine Kunden- und Abonnement-Kennung von Stripe. Zahlungsmittel (Karte, SEPA-Mandat) werden ausschließlich bei Stripe gespeichert
• Bewertungen (1–5 Sterne) und Kommentare nach abgeschlossener Buchung
• Chat-Nachrichten zwischen Kunde und Salon (über die plattforminterne Messaging-Funktion)

3.4 Automatisch erhobene Daten (Server-Logs)

• IP-Adresse (anonymisiert nach 7 Tagen)
• Browser-Typ und -Version, Betriebssystem
• Datum und Uhrzeit des Zugriffs
• Referrer-URL (zuvor besuchte Seite)
• Geografische Region (ungefähr, auf Stadt-Ebene basierend auf IP)
• Session-ID für Plattform-eigene Analytics (ohne persönlichen Bezug)

Diese Daten dienen der Sicherheit und der Plattform-eigenen Analyse (Bounce-Rate, Traffic-Quellen, Performance). Eine Übermittlung an externe Dienste wie Google Analytics oder Meta erfolgt ausschließlich, wenn der Nutzer im Cookie-Banner ausdrücklich zugestimmt hat (Analyse-Cookies für Google Analytics bzw. Marketing-Cookies für das Meta-Pixel).

3.5 Standortdaten (Geolocation)

Auf ausdrückliche Einwilligung des Nutzers (Browser-Permission "In der Nähe finden") wird der ungefähre Standort verwendet, um Salons in der Umgebung anzuzeigen. Der Standort wird ausschließlich clientseitig verarbeitet und nicht in unserer Datenbank gespeichert.

4. Zweck und Rechtsgrundlage der Verarbeitung

5. Weitergabe an Dritte (Auftragsverarbeiter)

Wir geben Daten ausschließlich in folgenden Fällen und auf Grundlage entsprechender Auftragsverarbeitungsverträge (AV-Verträge) gemäß Art. 28 DSGVO weiter:

• IONOS SE (Montabaur, Deutschland) — Hosting der Plattform. Server stehen in Deutschland. DSGVO-konform.
• Stripe Payments Europe, Ltd. (Dublin, Irland) — Zahlungsabwicklung. PCI-DSS Level 1 zertifiziert, DSGVO-konform. Stripe Datenschutz
• Buchender Salon — erhält Name, Kontakt und Buchungsdetails für die Vertragserfüllung. Salons sind eigenständige Verantwortliche im Sinne der DSGVO.
• Google Ireland Limited (Gemini API) — automatische Übersetzungen von UI-Texten und Salon-Beschreibungen. Es werden ausschließlich öffentliche Inhalte (z.B. Salon-Beschreibungen) übermittelt, keine persönlichen Daten der Endkunden. Google Datenschutz
• Groq, Inc. (USA) — AI-Insights für Salon-Inhaber. Es werden ausschließlich aggregierte und anonymisierte Statistiken übermittelt. Standard-Vertragsklauseln gemäß Art. 46 DSGVO sichern den Datenschutz.
• Meta Platforms Ireland Limited (Meta Pixel) — nur nach expliziter Einwilligung im Cookie-Banner. Wird ausschließlich für Marketing-Kampagnen eingesetzt. Meta Datenschutz
• Google Ireland Limited (Google Analytics 4) — nur nach ausdrücklicher Einwilligung im Cookie-Banner (Analyse-Cookies). Dient der anonymisierten Reichweiten- und Nutzungsanalyse; IP-Adressen werden gekürzt/anonymisiert. Datenübermittlung in die USA auf Grundlage des EU-US Data Privacy Framework und/oder der EU-Standardvertragsklauseln. Google Datenschutz
• SMTP-Provider (WP Mail SMTP-Anbieter) — Versand transaktionaler E-Mails (Buchungsbestätigungen, Erinnerungen, Passwort-Reset).
• n8n (self-hosted, EU) — Automatisierungs-Workflows. Server in der EU.

Eine darüber hinausgehende Weitergabe an Dritte findet nicht statt. Insbesondere verkaufen wir keine Daten.

5a. KI-Einsatz (Künstliche Intelligenz)

Wir setzen künstliche Intelligenz (KI) in zwei Bereichen ein:

1. Übersetzungen: Zur mehrsprachigen Bereitstellung unserer Inhalte nutzen wir das KI-System Google Gemini (Google Ireland Limited). Übersetzungen nicht-deutscher Inhalte können maschinell erstellt sein; maßgeblich ist stets die deutsche Originalfassung.

2. KI-Support-Chat: Unser Support-Chat (im Messenger und auf der Hilfe-Seite) wird von einem KI-Assistenten (Chatbot) beantwortet. Zu Beginn des Chats wirst du klar darauf hingewiesen, dass du mit einem KI-System kommunizierst (Art. 50 KI-VO). Für persönliche Hilfe kannst du dich jederzeit an info@lushly.world wenden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und lit. f DSGVO (berechtigtes Interesse an effizientem Support und mehrsprachiger Bereitstellung).

5b. Anzeigenmarkt (Jobs & Räume)

In unserem Anzeigenbereich („Jobs & Räume") können angemeldete Nutzer eigene Anzeigen (z. B. Stellenangebote, Raum- und Arbeitsplatzvermietung) veröffentlichen sowie auf Anzeigen anderer reagieren. Dabei werden folgende Daten verarbeitet:

Anzeige erstellen: Titel, Beschreibung, Kategorie, Ort, Preis sowie die von dir angegebenen Kontaktdaten (E-Mail und/oder Telefonnummer) und optional hochgeladene Bilder. Diese Angaben sind – mit Ausnahme der Kontaktdaten – öffentlich sichtbar. Deine Kontakt-E-Mail wird Interessenten nicht direkt angezeigt, sondern nur zur Weiterleitung von Anfragen genutzt.

Auf eine Anzeige antworten: Wenn du über das Kontaktformular auf eine Anzeige antwortest, werden dein Name, deine E-Mail-Adresse und deine Nachricht per E-Mail an den Inserenten weitergeleitet, damit dieser dir antworten kann. Die Kontaktdaten beider Seiten bleiben dabei auf der Plattform verborgen.

Merkliste (Favoriten): Wenn du Anzeigen merkst, speichern wir die entsprechenden Anzeigen-Kennungen in deinem Nutzerkonto, damit du sie später wiederfindest.

Gespeicherte Suchen und Benachrichtigungen: Du kannst Suchkriterien (z. B. Kategorie, Ort, Stichwort) speichern. Wir speichern diese Kriterien in deinem Konto und senden dir eine E-Mail-Benachrichtigung, sobald eine neue Anzeige zu deiner gespeicherten Suche passt. Diese Benachrichtigungen kannst du jederzeit beenden, indem du die gespeicherte Suche in deinem Konto löschst.

Aufrufstatistik: Zur Anzeige der Aufrufzahl einer Anzeige speichern wir kurzzeitig einen pseudonymisierten (gehashten) Wert deiner IP-Adresse, um Mehrfachzählungen zu vermeiden. Eine Identifizierung einzelner Personen erfolgt dabei nicht.

Meldungen: Meldest du eine Anzeige, verarbeiten wir den angegebenen Grund und einen optionalen Hinweis, um die Anzeige zu prüfen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung der von dir gewünschten Funktionen) sowie lit. f DSGVO (berechtigtes Interesse an einem funktionierenden, missbrauchsfreien Anzeigenmarkt). Die Benachrichtigungen zu gespeicherten Suchen beruhen auf lit. b und deiner jederzeit widerruflichen Nutzung dieser Funktion.

Sichtbarkeit deiner Angaben: Titel, Beschreibung, Kategorie, Ort, Preis und Bilder einer Anzeige sind öffentlich sichtbar und können von Suchmaschinen erfasst werden. Deine E-Mail-Adresse und deine Telefonnummer werden NICHT öffentlich angezeigt — sie dienen ausschließlich der Zustellung von Benachrichtigungen. Die Kontaktaufnahme läuft über den internen Nachrichtenbereich.

Nach Ablauf: Abgelaufene Anzeigen werden aus Übersicht und Suche entfernt, bleiben aber in deinem Konto erhalten, bis du sie löschst. Löschst du eine Anzeige, entfernen wir ihre Inhalte und Bilder. Bereits geführte Unterhaltungen bleiben davon unberührt, damit beide Seiten den Verlauf behalten.

Meldungen: Meldest du eine Anzeige, speichern wir die Meldung mit Zeitpunkt und — sofern angemeldet — deiner Nutzerkennung. Das ist nötig, um Mehrfachmeldungen zu erkennen und den Vorgang nachvollziehbar zu halten. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 16 der Verordnung (EU) 2022/2065 sowie Art. 6 Abs. 1 lit. f DSGVO. Speicherdauer: zwölf Monate.

5c. Telegram-Assistent

Salons und Master:innen können ihr Konto freiwillig mit unserem Telegram-Assistenten verbinden, um Buchungsanfragen zu erhalten und direkt zu beantworten. Die Verbindung ist optional und jederzeit widerrufbar — im Konto unter „Telegram-Assistent" oder mit dem Befehl /stop im Chat.

Verarbeitet werden dabei: die Telegram-Chat-Kennung, der dort hinterlegte Anzeigename, die gewählte Sprache sowie die Inhalte der Benachrichtigungen (Termin, Leistung, abgekürzter Name der Kund:in, Nachrichten aus dem Chat). Vollständige Namen, Telefonnummern und E-Mail-Adressen werden bewusst nicht an Telegram übermittelt.

Übermittlung in ein Drittland: Anbieter ist die Telegram FZ-LLC, Dubai, Vereinigte Arabische Emirate. Für die VAE besteht kein Angemessenheitsbeschluss der Europäischen Kommission. Die Übermittlung erfolgt auf Grundlage deiner ausdrücklichen Einwilligung nach Art. 49 Abs. 1 lit. a DSGVO, die du mit dem Verbinden des Kontos erteilst. Ohne Verbindung findet keine Übermittlung statt.

Kund:innen-Historie im Assistenten: Beim Aufruf einer Buchung kann der Salon die bisherige Historie dieser Kund:in in seinem eigenen Salon einsehen: Anzahl der Besuche, Datum des letzten Besuchs, in Anspruch genommene Leistungen, eigene Notizen des Salons sowie Nichterscheinen. Es handelt sich um Daten, die der Salon ohnehin verwaltet — sie werden lediglich anders dargestellt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) für die Übermittlung an Telegram, Art. 6 Abs. 1 lit. b DSGVO für die Darstellung der Historie. Speicherdauer: bis zur Trennung der Verbindung.

5d. Schutz vor unbefugten Zugriffen

Zum Schutz der Konten protokollieren wir fehlgeschlagene Anmeldeversuche mit IP-Adresse, Zeitpunkt und verwendetem Benutzernamen. Häufen sich Fehlversuche aus einem Netzbereich, wird dieser vorübergehend gesperrt — ansteigend von einer Stunde bis zu sieben Tagen.

Diese Sperre ist eine automatisierte Maßnahme, entfaltet jedoch keine rechtliche Wirkung im Sinne von Art. 22 DSGVO: betroffen ist ausschließlich der Zugang zur Anmeldemaske, nicht ein bestehender Vertrag. Sperren laufen selbsttätig ab und können auf Anfrage sofort aufgehoben werden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im Schutz der Konten unserer Nutzer:innen vor Übernahme. Speicherdauer: 90 Tage.

5e. E-Mail-Bestätigung, Merkliste und Warteliste

E-Mail-Bestätigung: Nach der Registrierung senden wir einen Bestätigungslink. Gespeichert werden ein Einmal-Token in verschlüsselter Form sowie der Zeitpunkt des Versands. Ohne Bestätigung ist das Aufgeben von Anzeigen nicht möglich. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.

Benachrichtigungen zu gemerkten Anzeigen: Merkst du eine Anzeige, speichern wir deren Kennung und den Zeitpunkt. Daraus entstehen zwei Arten von Nachrichten: eine Mitteilung, wenn sich Preis oder Status der Anzeige ändert, sowie einmalig eine Erinnerung nach zwei Tagen, falls du die anbietende Person noch nicht kontaktiert hast. Beides lässt sich unter Konto → E-Mails abschalten. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Warteliste: Ist ein Termin belegt, kannst du dich auf die Warteliste setzen lassen. Gespeichert werden Wunschtermin, Kontaktdaten und ein Einmal-Token für den Zusagelink. Löschung nach 30 Tagen oder mit der Absage. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

5f. Prüfung hochgeladener Bilder

Jedes hochgeladene Bild wird automatisiert geprüft: auf Metadaten, die auf eine KI-Erzeugung hinweisen (C2PA, IPTC), auf eingebettete Programmbestandteile zum Schutz vor Schadsoftware sowie auf Übereinstimmung mit bereits bekannten KI-Bildern.

Zu diesem Zweck berechnen wir aus dem Bild einen kurzen Zahlenwert, der seine grobe Helligkeitsstruktur beschreibt. Aus ihm lässt sich das Bild nicht wiederherstellen; er dient ausschließlich dem Vergleich. Eine Gesichtserkennung oder eine Erkennung von Personen findet nicht statt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (Kennzeichnungspflicht nach Art. 50 KI-Verordnung) sowie Art. 6 Abs. 1 lit. f DSGVO (Sicherheit unserer Systeme).

6. Cookies und vergleichbare Technologien

Wir verwenden ausschließlich technisch notwendige Cookies (Login-Sessions, Sicherheit, Cookie-Consent-Status, Sprach-Auswahl). Diese Cookies sind für den Betrieb der Plattform erforderlich und werden gemäß § 25 Abs. 2 TDDDG ohne Einwilligung gesetzt.

Marketing-Cookies (Meta Pixel) werden ausschließlich nach ausdrücklicher Einwilligung über unser Cookie-Banner gesetzt. Die Einwilligung kann jederzeit widerrufen werden.

Für die Plattform-eigene Analyse speichern wir zusätzlich anonymisierte Daten in unserer eigenen Datenbank (first-party).

Google Analytics 4. Mit deiner ausdrücklichen Einwilligung (Analyse-Cookies im Cookie-Banner) setzen wir Google Analytics 4 ein (Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Google Analytics verwendet Cookies, um die Nutzung der Website auszuwerten — etwa Seitenaufrufe, Verweildauer, verwendete Geräte und die ungefähre geografische Herkunft. IP-Adressen werden dabei anonymisiert bzw. gekürzt verarbeitet. Dabei können Daten an Server von Google – auch in den USA – übermittelt werden; die Übermittlung erfolgt auf Grundlage des EU-US Data Privacy Framework und/oder der EU-Standardvertragsklauseln gemäß Art. 46 DSGVO. Rechtsgrundlage ist deine Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO. Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft über die Cookie-Einstellungen widerrufen. Google Datenschutzerklärung

7. Speicherdauer

• Kundenkonto: bis zur Löschung durch den Nutzer
• Buchungsdaten: 10 Jahre (steuerrechtliche Aufbewahrungspflicht gemäß § 147 AO)
• Bewertungen: dauerhaft, bis Nutzer löscht (Pseudonymisierung möglich)
• Analytics-Sessions: 12 Monate
• Server-Logs: 30 Tage
• IP-Adressen: 7 Tage, danach Anonymisierung
• Chat-Nachrichten: bis zur Konto-Löschung
• E-Mail-Marketing-Einwilligung: bis Widerruf

8. Ihre Rechte als Betroffene

Als betroffene Person haben Sie jederzeit das Recht auf:

• Auskunft (Art. 15 DSGVO) — welche Daten wir über Sie verarbeiten
• Berichtigung (Art. 16 DSGVO) — Korrektur falscher Daten
• Löschung (Art. 17 DSGVO) — "Recht auf Vergessenwerden"
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO) — Daten in maschinenlesbarem Format
• Widerspruch (Art. 21 DSGVO) — gegen Verarbeitung auf Grundlage berechtigten Interesses
• Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO) — mit Wirkung für die Zukunft

Konto-Löschung ist jederzeit möglich unter: Mein Konto → Einstellungen
Anfragen zu Datenschutz-Rechten richten Sie bitte per E-Mail an: info@lushly.world

9. Beschwerderecht bei einer Aufsichtsbehörde

Sie haben gemäß Art. 77 DSGVO das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren — insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes.

Für uns zuständig ist:
Die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg
Stahnsdorfer Damm 77
14532 Kleinmachnow
Telefon: +49 33203 356-0
https://www.lda.brandenburg.de/

10. Datensicherheit

Wir verwenden SSL/TLS-Verschlüsselung (HTTPS) für die gesamte Datenübertragung. Passwörter werden mit bcrypt gehasht und niemals im Klartext gespeichert. Zahlungsdaten werden ausschließlich von Stripe verarbeitet (PCI-DSS Level 1). Backups werden verschlüsselt aufbewahrt.

11. Drittland-Übermittlung

Soweit Daten in Drittländer übermittelt werden, geschieht dies auf einer der folgenden Grundlagen. In die USA — etwa über Groq, das Meta-Pixel oder Google Analytics — auf Grundlage der EU-Standardvertragsklauseln gemäß Art. 46 DSGVO und/oder eines Angemessenheitsbeschlusses gemäß Art. 45 DSGVO (z. B. EU-US Data Privacy Framework). In die Vereinigten Arabischen Emirate — ausschließlich über den optionalen Telegram-Assistenten, siehe Abschnitt 5c — auf Grundlage deiner ausdrücklichen Einwilligung nach Art. 49 Abs. 1 lit. a DSGVO; für die VAE besteht kein Angemessenheitsbeschluss. Ohne Verbindung des Telegram-Assistenten findet diese Übermittlung nicht statt. Wir prüfen die Empfänger sorgfältig.

12. Automatisierte Entscheidungen, Profiling

Wir setzen keine vollautomatisierten Entscheidungsprozesse mit rechtlicher Wirkung ein. Automatisch generierte Wochen-Insights für Salon-Inhaber dienen ausschließlich der Information und stellen keine rechtlich bindende Entscheidung dar.

13. Push-Benachrichtigungen (PWA)

Lushly ist eine Progressive Web App (PWA). Push-Benachrichtigungen werden nur nach ausdrücklicher Einwilligung des Nutzers (Browser-Permission) versendet. Die Einwilligung kann jederzeit in den Browser-Einstellungen widerrufen werden.

14. Social Logins (Google / Facebook OAuth)

Bei Anmeldung über Google oder Facebook werden uns folgende Daten übermittelt: Name, E-Mail-Adresse und Profilbild. Andere Daten Ihres Google-/Facebook-Profils werden nicht abgerufen. Es gelten zusätzlich die Datenschutzbestimmungen von Google bzw. Meta.

15. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung gelegentlich anzupassen, um sie an aktuelle rechtliche Anforderungen anzupassen oder um Änderungen unserer Leistungen umzusetzen. Die jeweils aktuelle Version ist stets auf dieser Seite einsehbar. Bei wesentlichen Änderungen werden registrierte Nutzer per E-Mail informiert.