Datenschutzerklärung

Mit den folgenden Hinweisen informieren wir Sie nach Art. 13 DSGVO darüber, welche personenbezogenen Daten wir im Zusammenhang mit dieser Website verarbeiten.

1. Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO)

CUT BY SULE · Hair Studio

Inhaber: Suleman Goze Vazir

Ochsenzoller Straße 133

22848 Norderstedt

Telefon: 040 33387961

E-Mail: info@cutbysule.de

2. Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten auf Grundlage von Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), lit. b (Vertrag und vorvertragliche Maßnahmen), lit. c (rechtliche Verpflichtung) und lit. f (berechtigtes Interesse; das jeweilige Interesse ist im zugehörigen Abschnitt benannt). Für die Speicherung von Informationen in Ihrem Endgerät und für den Zugriff darauf gilt zusätzlich § 25 TDDDG.

3. Hosting und Server-Protokolle

Für das Hosting, die Auslieferung und die Bildoptimierung dieser Website nutzen wir die Vercel Inc., 440 N Barranca Avenue #4133, Covina, CA 91723, USA. Serverseitige Funktionen werden nach unserer Konfiguration in der EU-Region Frankfurt am Main ausgeführt; die Auslieferung erfolgt über das weltweit verteilte Edge-Netzwerk von Vercel. Bau-Vorgänge und produktbedingte Protokolldaten werden bei Vercel teils in Regionen in den USA verarbeitet.

Beim Aufruf der Website werden dabei technisch erforderliche Verbindungsdaten verarbeitet: IP-Adresse, Datum und Uhrzeit, der angefragte Pfad einschließlich seiner Abfrageparameter, HTTP-Methode und HTTP-Status, der angefragte Hostname, die Browserkennung (User-Agent, die auch Angaben zum Betriebssystem enthält), die verarbeitende Region des Auslieferungsnetzes, der Cache-Status und eine Anfragekennung; weitere Angaben nur, soweit Ihr Browser sie übermittelt. Zweck sind die sichere und stabile Bereitstellung der Website, der Schutz vor Missbrauch und die Fehleranalyse; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht darin, diese Website zuverlässig ausliefern und Störungen oder Angriffe erkennen und abwehren zu können.

Die Protokolle unserer serverseitigen Funktionen (Runtime-Logs) hält Vercel in dem von uns genutzten Tarif einen Tag vor; danach werden sie gelöscht. Eine Weiterleitung dieser Protokolle an externe Empfänger setzen wir nicht ein. Davon zu unterscheiden sind die Bau-Protokolle, die beim Veröffentlichen einer neuen Fassung dieser Website entstehen: sie halten den Ablauf des Bauvorgangs fest, enthalten keine Besucherdaten und werden von Vercel je Veröffentlichung unbefristet aufbewahrt. Eine längere Aufbewahrung einzelner Verbindungsdaten erfolgt nur, soweit sie zur Abwehr eines konkreten Angriffs oder zur Aufklärung einer Störung erforderlich ist.

Mit Vercel besteht ein Vertrag über die Auftragsverarbeitung. Die Vercel Inc. hat ihren Sitz in den USA und betreibt eine weltweit verteilte Infrastruktur; Übermittlungen in Drittländer sind in diesem Vertrag ausdrücklich vorgesehen und auf die Standardvertragsklauseln der EU-Kommission gestützt (Art. 46 Abs. 2 lit. c DSGVO). Deren Wortlaut können Sie im Durchführungsbeschluss (EU) 2021/914 unter https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj einsehen. Daneben ist die Vercel Inc. nach dem EU-U.S. Data Privacy Framework zertifiziert; den Eintrag finden Sie unter https://www.dataprivacyframework.gov/list.

4. Datenbank und Anwendungs-Backend

Die Inhalte, Stamm- und Vorgangsdaten dieser Website, etwa Seiteninhalte, Anfragen und Newsletter-Anmeldungen, werden in einer Datenbank des Dienstes Supabase verarbeitet. Vertragspartner ist die Supabase Pte. Ltd, 65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513. Die Datenhaltung erfolgt in einer Datenbank-Region innerhalb der EU (Irland); die Trennung von den Daten anderer Betriebe wird auf Datenbankebene erzwungen.

Auch die Bilder und Videos dieser Website liegen dort. Fotos werden allerdings nicht unmittelbar von dort ausgeliefert: Unser Hosting-Anbieter Vercel ruft sie aus diesem Speicher ab, wandelt sie in ein platzsparendes Bildformat um (AVIF oder WebP), hält die umgewandelte Fassung bis zu einem Jahr in seinem Auslieferungsnetz vor und liefert sie von dort an Ihren Browser; dabei wird Ihre IP-Adresse an Vercel übertragen. Zweck ist die schnellere Anzeige bei geringerer Datenmenge; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht darin, die Seiten auch auf langsamen Verbindungen zügig und sparsam auszuliefern. Anbieter, Verarbeitungsort und Drittlandgrundlage stehen im Abschnitt „Hosting und Server-Protokolle". Videos und Grafiken im SVG-Format werden weiterhin unmittelbar aus diesem Speicher an Ihren Browser ausgeliefert; dabei wird Ihre IP-Adresse an Supabase übertragen.

Zweck ist die Bereitstellung und Verwaltung der Website-Inhalte und der Funktionen dieser Website; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, soweit zur Vertragserfüllung erforderlich lit. b. Es besteht ein Vertrag über die Auftragsverarbeitung. Soweit administrative Zugriffe aus Drittländern nicht ausgeschlossen werden können, beruhen sie auf den Standardvertragsklauseln der EU-Kommission (Art. 46 DSGVO); eine Zertifizierung nach dem EU-U.S. Data Privacy Framework besteht für diesen Anbieter nicht.

5. Schutz vor Missbrauch

Zum Schutz unserer Formulare vor automatisierten Zusendungen begrenzen wir deren Zahl je Zeitfenster. Dazu speichern wir zu jeder eingegangenen Anfrage und zu jeder Newsletter-Anmeldung einen kryptografischen Hashwert Ihrer IP-Adresse (die IP-Adresse selbst wird nicht gespeichert) und zählen beim nächsten Absenden, wie viele Vorgänge mit demselben Hashwert im Zeitfenster liegen. Einen gesonderten Zähler führen wir für die Formulare nicht; der Hashwert bleibt so lange gespeichert wie der Vorgang, zu dem er gehört.

Auch die Reichweitenmessung ist gegen Überlastung begrenzt. Dafür führen wir einen eigenen, sehr kurzlebigen Zähler: Bei jedem gezählten Seitenaufruf speichern wir einen kryptografischen Hashwert Ihrer IP-Adresse zusammen mit dem Zeitpunkt (die IP-Adresse selbst wird nicht gespeichert, ebenso wenig der aufgerufene Pfad oder ein Ergebnis). Diese Einträge werden automatisch nach zwei Minuten gelöscht.

Zweck beider Begrenzungen ist die Sicherheit und Verfügbarkeit unserer Systeme; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht darin, diese Website vor automatisierten Massenzugriffen zu schützen und für alle Besucherinnen und Besucher erreichbar zu halten.

6. Fehler- und Stabilitätsüberwachung

Zur Erkennung und Behebung technischer Fehler setzen wir den Dienst Sentry der Functional Software, Inc. (d/b/a Sentry), 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA, in dessen EU-Region ein (Rechenzentrum Frankfurt am Main). Tritt ein technischer Fehler auf, werden Diagnosedaten übermittelt: die Fehlermeldung und die technische Aufrufkette, die betroffene Adresse, der Zeitpunkt sowie Browser- und Geräteangaben.

Vor der Übertragung entfernt eine automatische Filterung Angaben, die auf eine Person schließen lassen, insbesondere Zugangsschlüssel, E-Mail-Adressen, IP-Adressen im Nachrichtentext, Cookies und die Abfrageparameter aufgerufener Adressen. Eine bewusste Übermittlung personenbezogener Daten findet nicht statt; dass solche Angaben im Einzelfall zufällig mitlaufen, lässt sich technisch nicht vollständig ausschließen.

Zweck sind die Fehleranalyse, die Stabilität und die Sicherheit dieser Website; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht darin, Fehler zu bemerken und zu beheben, bevor sie die Nutzung der Website beeinträchtigen. Die Fehler-Ereignisdaten werden in der EU-Region verarbeitet und nach 90 Tagen gelöscht. Es besteht ein Vertrag über die Auftragsverarbeitung; soweit administrative Zugriffe aus den USA erfolgen, gelten der Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework und ergänzend die Standardvertragsklauseln der EU-Kommission.

7. Fehlermeldungen aus Ihrem Browser

Tritt ein technischer Fehler in Ihrem Browser auf, etwa beim Anzeigen einer Seite, wird ein Fehlerbericht unmittelbar von Ihrem Endgerät an Sentry übermittelt; Anbieter, Datenstandort und Aufbewahrung sind dieselben wie im Abschnitt „Fehler- und Stabilitätsüberwachung“. Übermittelt werden technische Fehlerdaten (die Fehlermeldung und die Aufrufkette, die aufgerufene Adresse ohne ihre Abfrageparameter, der Zeitpunkt sowie Browser- und Geräteangaben) und, technisch unvermeidbar, weil sie Bestandteil jeder Internetverbindung ist, Ihre IP-Adresse.

Wir haben diese Funktion bewusst auf das Nötigste begrenzt: Es findet keine Sitzungsaufzeichnung statt, Ihr Bildschirm wird also nicht aufgezeichnet. Es werden weder Besuche gezählt noch Ladezeiten Ihres Besuchs übermittelt. Ihre Bedienschritte vor dem Fehler werden nur als technische Position im Seitenaufbau festgehalten (welche Schaltfläche, welche Seite), nicht mit dem, was Sie eingegeben oder gelesen haben.

Es werden dabei keine Informationen in Ihrem Endgerät gespeichert und keine dort gespeicherten Informationen ausgelesen. Es handelt sich deshalb nicht um einen Fall des § 25 TDDDG, und eine Einwilligung ist hierfür nicht erforderlich. Zweck und Rechtsgrundlage entsprechen dem Abschnitt „Fehler- und Stabilitätsüberwachung“ (Art. 6 Abs. 1 lit. f DSGVO); auch hier gilt, dass eine zufällige Erfassung personenbezogener Angaben technisch nicht vollständig auszuschließen ist.

8. Schriftarten

Die auf dieser Website verwendeten Schriftarten liefern wir von unserem eigenen Server aus. Es besteht keine Verbindung zu Servern Dritter, insbesondere kein Abruf von Google Fonts über ein Google-CDN.

9. Reichweitenmessung

Zur statistischen Auswertung der Nutzung dieser Website setzen wir Umami in der Variante „Umami Cloud“ ein. Anbieter ist die Umami Software, Inc., 28 Geary St, Suite 650 #243, San Francisco, Kalifornien, USA. Die Zählungen werden an den europäischen Erfassungsendpunkt des Anbieters übermittelt.

Die Zählung läuft so: Ein kleines, von uns selbst bereitgestelltes Zählsignal meldet je Seitenaufruf den aufgerufenen Seitenpfad und die Sprache der Seite an unsere eigene Website-Adresse. Dabei wird kein Skript eines Dritten geladen, kein Cookie gesetzt und nichts aus Ihrem Endgerät ausgelesen. Unser Server gibt anschließend allein den Seitenpfad, die Kennung dieser Website und die Sprache an Umami weiter; weder Ihre IP-Adresse noch Ihre Browserkennung werden an Umami übermittelt. Eine Wiedererkennung einzelner Personen, eine websiteübergreifende Verfolgung und eine Profilbildung finden nicht statt.

Zweck sind die Reichweitenmessung und die Verbesserung unseres Angebots; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht darin, in anonymer Form zu erkennen, welche Inhalte gefragt sind, um die Website daran auszurichten. Eine Speicherung von oder ein Zugriff auf Informationen in Ihrem Endgerät im Sinne des § 25 Abs. 1 TDDDG findet nicht statt, eine Einwilligung ist dafür also nicht erforderlich.

Die an Umami übermittelten Zählungen enthalten weder Ihre IP-Adresse noch Ihre Browserkennung und lassen sich keiner Person zuordnen. Speicherdauer: Aggregierte statistische Ereignisdaten werden in unserem Umami-Konto in dem von uns genutzten Tarif für maximal sechs Monate ab Erhebung vorgehalten und anschließend automatisch gelöscht.

Da die Muttergesellschaft ihren Sitz in den USA hat, lässt sich ein administrativer Zugriff aus den USA nicht vollständig ausschließen; insoweit bestehen die Standardvertragsklauseln der EU-Kommission (Art. 46 DSGVO).

10. Kontaktformular und Bewerbungsformular

Wenn Sie uns über eines der Formulare auf dieser Website schreiben, verarbeiten wir die von Ihnen eingegebenen Angaben, um Ihre Anfrage zu bearbeiten: Ihren Namen, Ihre E-Mail-Adresse, freiwillig Ihre Telefonnummer, Ihr Anliegen und Ihre Nachricht; im Bewerbungsformular zusätzlich die gewünschte Stelle und den frühestmöglichen Eintrittstermin. Ihre IP-Adresse wird dabei ausschließlich als kryptografischer Hashwert zum Schutz vor Missbrauch verarbeitet und nie im Klartext gespeichert.

Pflichtfelder sind im Formular gekennzeichnet; ohne Namen und E-Mail-Adresse können wir eine Anfrage nicht beantworten. Alle übrigen Angaben sind freiwillig.

Bitte machen Sie in der Nachricht keine Angaben zu Ihrer Gesundheit, etwa zu Allergien oder Unverträglichkeiten gegenüber Haarfarben oder Pflegeprodukten. Solche Angaben sind besonders geschützt; besprechen Sie sie bitte persönlich oder telefonisch mit uns. Tragen Sie sie dennoch ein, verwenden wir sie allein zur Beantwortung Ihrer Anfrage und löschen sie mit dieser.

Ihre Nachricht wird uns zusätzlich per E-Mail zugestellt; der Anbieter des dafür genutzten Postfachs verarbeitet sie dabei als Empfänger (siehe „E-Mail-Postfach und Domain“). Zu Werbezwecken geben wir Ihre Daten nicht weiter.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage auf einen Vertrag zielt, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (geordnete Bearbeitung von Anfragen). Wir speichern Anfragen für die Dauer ihrer Bearbeitung und löschen sie spätestens 180 Tage nach Eingang automatisch; gesetzliche Aufbewahrungspflichten, insbesondere nach § 147 AO und § 257 HGB, bleiben unberührt.

Bewerbungen: Wenn Sie sich über das Bewerbungsformular bewerben, verarbeiten wir Ihre Bewerberdaten zur Durchführung des Bewerbungsverfahrens. Wenn Sie einen Lebenslauf anhängen, wird diese Datei nicht in unserer Website-Datenbank gespeichert; sie wird ausschließlich an die Benachrichtigungs-E-Mail an uns angehängt und liegt danach nur in unserem E-Mail-Postfach. Die Bestätigung an Sie enthält keinen Anhang. Rechtsgrundlage ist § 26 Abs. 1 Satz 1 BDSG in Verbindung mit Art. 6 Abs. 1 lit. b DSGVO; Bewerberinnen und Bewerber gelten nach § 26 Abs. 8 Satz 2 BDSG als Beschäftigte.

Die im Bewerbungsformular als Pflichtfelder gekennzeichneten Angaben benötigen wir, um Ihre Bewerbung bearbeiten zu können; ohne sie können wir sie nicht berücksichtigen. Der Lebenslauf und alle übrigen Angaben sind freiwillig. Im Fall einer Absage löschen wir Bewerbungsdaten, einschließlich eines angehängten Lebenslaufs in unserem E-Mail-Postfach, spätestens sechs Monate nach Abschluss des Verfahrens, sofern keine längere Aufbewahrung gesetzlich geboten ist. Im Fall einer Einstellung führen wir die Daten in das Beschäftigungsverhältnis über.

11. Newsletter

Wenn Sie sich für unseren Newsletter anmelden, verarbeiten wir Ihre E-Mail-Adresse und den Zeitpunkt Ihrer Anmeldung, um Ihnen Neuigkeiten und Angebote zu senden. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO; den Wortlaut der Einwilligung sehen Sie am Anmeldeformular. Die Anmeldung erfolgt im Double-Opt-in-Verfahren: Sie erhalten zunächst eine E-Mail mit einem Bestätigungslink, und erst nach Ihrer Bestätigung nehmen wir Sie in den Verteiler auf. Bestätigen Sie die Anmeldung nicht, senden wir Ihnen keinen Newsletter; der Bestätigungslink verliert nach 72 Stunden seine Gültigkeit. Die unbestätigte Anmeldung wird ausschließlich als Nachweis dieses Vorgangs vorgehalten und gelöscht, sobald Sie das verlangen oder wir den Bestand überprüfen.

Zum Nachweis Ihrer Einwilligung speichern wir den Zeitpunkt der Anmeldung und der Bestätigung, die Fassung des Einwilligungstextes, den Sie bestätigt haben, und einen kryptografischen Hashwert Ihrer IP-Adresse, nie die IP-Adresse selbst. Ihre Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen: über den Abmeldelink am Ende jeder Newsletter-E-Mail oder formlos über die oben genannten Kontaktdaten. Nach einem Widerruf verarbeiten wir Ihre Angaben nur noch, soweit das zum Nachweis der früheren Einwilligung und zur Sicherstellung der Abmeldung erforderlich ist. Der technische Versand erfolgt über den unten genannten E-Mail-Versanddienst.

Pflichtangabe ist allein Ihre E-Mail-Adresse; ohne sie können wir den Newsletter nicht zustellen. Die Anmeldung ist freiwillig und für die Nutzung dieser Website oder unserer Leistungen nicht erforderlich.

Unsere Newsletter-Ausgaben enthalten kein Zählbild und keine umgeleiteten Links; ob und wann Sie eine Ausgabe öffnen oder einen Link anklicken, erfassen wir nicht.

Den Inhalt der versendeten Ausgabe löschen wir automatisch 365 Tage nach dem Versand; diese Frist können wir für unseren Betrieb anpassen. Die technischen Versanddaten (Zeitpunkt, Zustellstatus und der Bezug zur Kampagne) bleiben darüber hinaus erhalten, damit wir den Versand nachvollziehen können. Wird uns eine Zustellung dauerhaft verweigert oder widersprechen Sie dem Empfang, hinterlegen wir zusätzlich einen kryptografischen Hashwert Ihrer Adresse auf einer Sperrliste. Zweck ist, dauerhaft sicherzustellen, dass Sie nicht erneut angeschrieben werden; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, und unser berechtigtes Interesse ist die dauerhafte Beachtung Ihrer Abmeldung. Die Sperrliste enthält keine Klartext-Adressen, wird dauerhaft geführt (eine ablaufende Sperre verlöre ihren Zweck) und bleibt auch dann bestehen, wenn Ihre übrigen Daten gelöscht werden (Art. 17 Abs. 3 lit. b DSGVO).

12. Gästeverzeichnis

Aus einer Newsletter-Anmeldung entsteht in unserem Gästeverzeichnis ein Eintrag mit Ihrer E-Mail-Adresse, gegebenenfalls Ihrem Namen, der Herkunft des Eintrags und dem Zeitpunkt des letzten erfassten Kontakts. Zweck ist die geordnete Verwaltung unserer Kontakte; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, für die Zusendung des Newsletters selbst Ihre Einwilligung nach lit. a.

Ein automatischer Vorgang prüft stündlich, welche Einträge fällig sind, und macht die darin enthaltenen Kontaktdaten unwiderruflich unkenntlich. Fällig ist ein Eintrag ohne Kauf- oder Bestellvorgang 90 Tage nach dem letzten erfassten Kontakt.

Der Nachweis einer erteilten Einwilligung bleibt davon unberührt: Wir müssen nach Art. 7 Abs. 1 DSGVO belegen können, dass und wie Sie eingewilligt haben. Diesen Nachweis bewahren wir deshalb ohne feste Frist auf, solange die Einwilligung gilt und darüber hinaus so lange, wie Ansprüche im Zusammenhang mit ihr geltend gemacht werden können. Er umfasst die Zeitpunkte von Anmeldung und Bestätigung, die Fassung des Einwilligungstextes und einen Hashwert Ihrer IP-Adresse, nicht aber den Inhalt Ihrer Nachrichten.

Die Abmeldung vom Newsletter beendet den Versand, löscht Ihren Eintrag im Gästeverzeichnis aber nicht von selbst. Wünschen Sie die Löschung vor Ablauf der genannten Frist, genügt eine formlose Nachricht an die oben genannten Kontaktdaten; wir machen den Eintrag dann unverzüglich unkenntlich.

13. Versand von E-Mails

Für den technischen Versand unserer E-Mails (Eingangsbestätigungen, Benachrichtigungen aus den Formularen, Bestätigungs- und Newsletter-E-Mails) nutzen wir Amazon Simple Email Service (SES) der Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg, in der Region Europa (Stockholm). Verarbeitet werden Absender- und Empfängerangaben, Versandzeitpunkte, Betreff und Nachrichteninhalt sowie technische Zustelldaten wie Zustellstatus und Unzustellbarkeitsmeldungen; die Inhalte werden zum Versand durchgeleitet und dort nicht dauerhaft gespeichert.

Zweck ist die zuverlässige Zustellung; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO. Es besteht ein Vertrag über die Auftragsverarbeitung als Bestandteil der Servicebedingungen des Anbieters. Vertragspartner ist eine Gesellschaft mit Sitz in der Europäischen Union; für etwaige Übermittlungen in die USA gelten die Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss (EU) 2021/914, https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj), und die Muttergesellschaft Amazon.com, Inc. ist nach dem EU-U.S. Data Privacy Framework zertifiziert, wobei Amazon Web Services als erfasste Einheit unter dieser Zertifizierung geführt wird (https://www.dataprivacyframework.gov/list).

14. E-Mail-Postfach und Domain

Eingehende formbezogene Nachrichten (siehe den Abschnitt „Kontaktformular und Bewerbungsformular“) und sonstige E-Mail-Korrespondenz werden in unseren geschäftlichen E-Mail-Postfächern empfangen, gespeichert und bearbeitet. Zweck sind Empfang, Speicherung und Bearbeitung geschäftlicher E-Mails; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht in der zuverlässigen Bereitstellung geschäftlicher E-Mail-Kommunikation. Soweit eingehende Nachrichten der Anbahnung oder Erfüllung eines Vertrags dienen (z. B. Terminanfragen), erfolgt die Verarbeitung ergänzend auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO.

Speicherdauer: bis zur abschließenden Bearbeitung der Anfrage, gegebenenfalls zuzüglich einschlägiger gesetzlicher Aufbewahrungspflichten (insbesondere § 147 AO und § 257 HGB für steuer- und handelsrechtlich relevante Korrespondenz).

Unser Postfach und unsere Domain betreibt die STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin. STRATO betreibt die Mail- und Domain-Infrastruktur in Rechenzentren in Deutschland. Mit STRATO besteht ein Vertrag über die Auftragsverarbeitung. Eine Übermittlung in ein Drittland findet insoweit nicht statt.

15. Fotos von Personen

Auf dieser Website können Aufnahmen veröffentlicht sein, auf denen Personen erkennbar sind. Rechtsgrundlage einer solchen Veröffentlichung ist die Einwilligung der aufgenommenen Person (Art. 6 Abs. 1 lit. a DSGVO, §§ 22, 23 KUG), bei Minderjährigen die der sorgeberechtigten Personen; sie kann jederzeit mit Wirkung für die Zukunft widerrufen werden, ohne dass die Rechtmäßigkeit der bis dahin erfolgten Veröffentlichung berührt wird.

Wenn Sie auf einer Aufnahme zu sehen sind und die Veröffentlichung nicht oder nicht mehr wünschen, genügt eine formlose Nachricht an die oben genannten Kontaktdaten; wir nehmen die Aufnahme dann zeitnah von der Website.

16. Externe Karten (Google Maps)

Die Karte auf der Seite „Kontakt & Anfahrt“ wird erst geladen, wenn Sie sie ausdrücklich anfordern. Vorher wird keine Verbindung zu Google hergestellt. Einwilligungspflichtige Cookies oder vergleichbare Technologien setzen wir beim Aufruf dieser Website nicht ein; ein Einwilligungsbanner erscheint deshalb nicht (§ 25 Abs. 1 TDDDG). Nach Ihrer Freigabe verarbeitet die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, insbesondere Ihre IP-Adresse, Browser- und Geräteangaben sowie die zuvor besuchte Adresse; eine Verarbeitung in den USA lässt sich dabei nicht ausschließen, und Google setzt eigene Cookies.

Rechtsgrundlage für das Laden der Karte ist Ihre Einwilligung nach § 25 Abs. 1 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO. Sie können sie jederzeit widerrufen: über „Datenschutz-Einstellungen“ in der Fußzeile, dort nur für Google, oder mit „Alle ablehnen“ für alle Anbieter zugleich. Für die Übermittlung in die USA ist die Google LLC nach dem EU-U.S. Data Privacy Framework zertifiziert; ergänzend gelten die Standardvertragsklauseln der EU-Kommission. Die Datenschutzhinweise von Google finden Sie unter https://policies.google.com/privacy.

Wie wir uns Ihre Freigabe merken und wie lange, steht im Abschnitt „Externe Inhalte (Videos, Karten, Buchungsbereiche)“ am Ende dieser Seite. Dort können Sie eine erteilte Freigabe auch unmittelbar zurücknehmen.

17. Online-Terminbuchung im Rahmen dieser Website (SumUp)

Auf der Seite „Leistungen & Preise“ können Sie Ihren Termin unmittelbar hier auf der Website buchen. Der Buchungsbereich ist ein eingebetteter Inhalt des Anbieters SumUp und wird erst geladen, wenn Sie ihn im Platzhalter ausdrücklich anfordern. Vorher wird keine Verbindung zu SumUp hergestellt und es werden keine Daten dorthin übertragen.

Nach Ihrer Freigabe lädt Ihr Browser den Buchungsbereich unmittelbar von SumUp. Dabei werden mindestens Ihre IP-Adresse, Angaben zu Browser und Endgerät sowie die zuvor aufgerufene Adresse an SumUp übermittelt. Alles Weitere, was Sie anschließend im Buchungsbereich eingeben, verarbeitet SumUp unmittelbar; welche Angaben das im Einzelnen sind, bestimmt SumUp; in der Regel sind es Ihr Name, Ihre Kontaktdaten wie Telefonnummer und E-Mail-Adresse, die gewünschte Leistung, der gewünschte Termin, gegebenenfalls die gewünschte Person aus unserem Team sowie Ihre Anmerkungen.

SumUp setzt innerhalb dieses eingebetteten Bereichs eigene Cookies und kann dort auf den Speicher Ihres Endgeräts zugreifen. Unsere Zusage, dass diese Website selbst keine Cookies zu Werbe- oder Tracking-Zwecken setzt, beschreibt ausschließlich den Bereich außerhalb dieses Rahmens.

Rechtsgrundlage für das Laden des Buchungsbereichs und für den damit verbundenen Zugriff auf Ihr Endgerät ist Ihre Einwilligung nach § 25 Abs. 1 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO; für die anschließende Terminvereinbarung selbst ist es Art. 6 Abs. 1 lit. b DSGVO. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen: über „Datenschutz-Einstellungen“ in der Fußzeile, dort nur für SumUp, oder mit „Alle ablehnen“ für alle Anbieter zugleich. Danach erscheint wieder der Platzhalter, und es wird erneut gefragt.

Für den Buchungsdienst verantwortlich sind die SumUp Limited, Block 8, Harcourt Centre, Charlotte Way, Dublin 2, Irland (Registernummer 505893), die SumUp Payments Limited, The Forge, 2nd floor, 105 Sumner Street, London SE1 9HZ, Vereinigtes Königreich (Registernummer 07836562), und die SumUp EU Payments UAB, Vilnius, Litauen. Für die Übermittlung in das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO. Die Datenschutzhinweise von SumUp finden Sie unter https://www.sumup.com/de-DE/privacy/.

Ihre Freigabe wird, wie bei allen externen Inhalten dieser Website, für 180 Tage auf Ihrem Gerät gespeichert; Einzelheiten dazu und die Möglichkeit, sie unmittelbar zurückzunehmen, stehen im Abschnitt „Externe Inhalte (Videos, Karten, Buchungsbereiche)“ am Ende dieser Seite.

18. Verlinkte Dienste ohne Einbettung

Unser Gutschein-Shop läuft über SumUp, unsere Profile bei Instagram und TikTok sowie der Nachrichten-Knopf bei WhatsApp sind ebenfalls nur verlinkt; auch die Schaltflächen „Termin buchen“ führen als Link auf die Buchungsseite von SumUp. Alle diese Ziele öffnen in einem neuen Tab. Beim bloßen Aufruf unserer Website werden keine Daten an diese Anbieter übertragen: Es sind einfache Links, keine eingebetteten Inhalte, und vor Ihrem Klick wird keine Verbindung dorthin aufgebaut.

Ausgenommen davon ist allein der Buchungsbereich auf der Seite „Leistungen & Preise“: er ist eingebettet und wird nur nach Ihrer ausdrücklichen Freigabe von SumUp geladen. Einzelheiten dazu stehen im Abschnitt „Online-Terminbuchung im Rahmen dieser Website (SumUp)“.

Erst wenn Sie einem solchen Link folgen, verlassen Sie unseren Verantwortungsbereich; ab dann gelten die Datenschutzhinweise des jeweiligen Anbieters. Das sind für WhatsApp die WhatsApp Ireland Limited, 4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Irland, für Instagram die Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irland, für TikTok die TikTok Technology Limited, 10 Earlsfort Terrace, Dublin 2, Irland, und für den Gutschein-Shop die oben genannten SumUp-Gesellschaften. Schreiben Sie uns über WhatsApp, verarbeitet WhatsApp Ihre Nachricht und Ihre Telefonnummer nach seinen eigenen Bedingungen, auch in den USA; wir nutzen den Kanal ausschließlich zur Beantwortung Ihrer Anfrage.

19. Empfänger personenbezogener Daten

Empfänger sind die folgenden Dienstleister, soweit dies für die jeweilige Funktion erforderlich ist. Mit Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO.

Unser technischer Dienstleister für Betrieb und Support dieser Website sowie der Anfrage-, Bewerbungs-, Newsletter- und Kontaktverwaltung (Auftragsverarbeiter nach Art. 28 DSGVO); Datenstandort EU. Verantwortlich für die Verarbeitung Ihrer Daten bleiben wir.

Die folgenden fünf Dienstleister setzen wir bzw. unser technischer Dienstleister ein, um diese Leistungen zu erbringen: Vercel, Supabase, Amazon Web Services, Sentry und Umami. Sie sind Unterauftragsverarbeiter unseres technischen Dienstleisters (Art. 28 Abs. 2 und Abs. 4 DSGVO); wir haben ihrem Einsatz zugestimmt und werden über beabsichtigte Änderungen vorab unterrichtet. Für die Einhaltung ihrer Datenschutzpflichten haftet uns gegenüber unser technischer Dienstleister.

Vercel Inc. (USA): Hosting, Auslieferung und Bildoptimierung; Datenstandort: serverseitige Funktionen in der EU-Region Frankfurt am Main, Auslieferung weltweit, Bau-Vorgänge und Protokolle teils in den USA.

Supabase Pte. Ltd (Singapur): Datenbank, Anwendungs-Backend und Speicherung der Bilder und Videos dieser Website sowie deren unmittelbare Auslieferung, soweit sie nicht über die Bildoptimierung von Vercel läuft; Datenstandort EU (Irland).

Amazon Web Services EMEA SARL (Luxemburg): E-Mail-Versand; Datenstandort: Schweden (Region Europa/Stockholm).

Functional Software, Inc. d/b/a Sentry (USA): Fehler- und Stabilitätsüberwachung; Datenstandort EU (Frankfurt am Main).

Umami Software, Inc. (USA): Reichweitenmessung; Übermittlung an den europäischen Erfassungsendpunkt des Anbieters.

Nicht in unserem Auftrag, sondern in eigener datenschutzrechtlicher Verantwortung verarbeiten die beiden folgenden Anbieter, und zwar erst nach Ihrer ausdrücklichen Freigabe:

Google Ireland Limited (Irland): Kartendarstellung, erst nach Ihrer Freigabe; Datenstandort weltweit.

SumUp Limited (Irland), SumUp Payments Limited (Vereinigtes Königreich) und SumUp EU Payments UAB (Litauen): Online-Terminbuchung, eingebettet erst nach Ihrer Freigabe; Datenstandort Europäische Union und Vereinigtes Königreich.

Hinzu kommt der Anbieter unseres geschäftlichen E-Mail-Postfachs, siehe den Abschnitt „E-Mail-Postfach und Domain“.

20. Übermittlung in Drittländer

Soweit personenbezogene Daten außerhalb der EU und des EWR verarbeitet werden, beruht dies auf den Garantien der Art. 44 ff. DSGVO: auf dem Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework (Art. 45 DSGVO), soweit der jeweilige US-Anbieter zertifiziert ist, auf dem Angemessenheitsbeschluss der Europäischen Kommission für das Vereinigte Königreich (Art. 45 DSGVO) für die SumUp Payments Limited, und im Übrigen, insbesondere für Supabase und Umami, auf den Standardvertragsklauseln der EU-Kommission nach dem Durchführungsbeschluss (EU) 2021/914 (Art. 46 Abs. 2 lit. c DSGVO). Soweit Daten ausschließlich innerhalb der EU und des EWR verarbeitet werden, findet keine Übermittlung in ein Drittland statt.

21. Cookies und ähnliche Technologien

Für Besucher setzt diese Website nur einen eigenen Textbaustein (Cookie) je freigegebenem Anbieter (Name: „__Host-tc.consent.<Betrieb>.<Anbieter>“), und auch den erst, wenn Sie einen externen Inhalt ausdrücklich freigeben. Er speichert allein den Tag Ihrer Freigabe für genau diesen Anbieter, gilt 180 Tage und ist nach § 25 Abs. 2 Nr. 2 TDDDG unbedingt erforderlich, weil ohne ihn bei jedem Seitenaufruf erneut zu entscheiden wäre. Einzelheiten und der Weg zum Widerruf stehen im Abschnitt „Externe Inhalte (Videos, Karten, Buchungsbereiche)“ am Ende dieser Seite.

Ihre Freigaben nehmen Sie über den Punkt „Datenschutz-Einstellungen“ in der Fußzeile zurück: Dort sehen Sie jeden Anbieter einzeln und können ihn einzeln ausschalten; dabei wird genau der eine zugehörige Textbaustein gelöscht, die übrigen bleiben bestehen. „Alle ablehnen“ setzt sämtliche gespeicherten Freigaben in einem Schritt zurück. Ihre Auswahl übernehmen Sie mit „Auswahl speichern“; „Alle akzeptieren“ und „Alle ablehnen“ gelten ohne diesen Schritt. Die Änderung wirkt sofort, ohne dass die Seite neu geladen werden muss.

Nach einer Freigabe von Google Maps setzt Google, nach einer Freigabe des Buchungsbereichs setzt SumUp innerhalb des jeweils eingebetteten Rahmens zusätzlich eigene Cookies. Darüber hinaus werden auf dieser Website keine Cookies, kein lokaler Speicher und keine vergleichbaren Technologien zu Werbe- oder Tracking-Zwecken eingesetzt; insbesondere arbeiten die oben beschriebene Reichweitenmessung und die Fehlerüberwachung vollständig ohne Zugriff auf Ihr Endgerät. Für beide gibt es deshalb keine Einwilligung, die Sie widerrufen könnten; „Datenschutz-Einstellungen“ erläutert sie nur und zeigt für sie keinen Schalter.

Ein weiterer Textbaustein mit dem Namen „__Host-tc_preview“ betrifft keine Besucher: Er wird ausschließlich dann gesetzt, wenn eine Person, die unsere Website pflegt, einen ihr zugeschickten Vorschau-Link anklickt, um einen noch unveröffentlichten Entwurf zu prüfen. Er enthält nur eine zufällige Zeichenfolge ohne Personenbezug, ist auf diese Website beschränkt, wird nach spätestens 72 Stunden ungültig und kann jederzeit über „Vorschau beenden“ gelöscht werden; er ist technisch erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG), und es wird kein Dritter daran beteiligt.

22. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen; die konkreten Dauern stehen in den jeweiligen Abschnitten. Steuer- und handelsrechtliche Aufbewahrungsfristen betragen regelmäßig sechs, acht oder zehn Jahre (§ 147 AO, § 257 HGB). Nach Wegfall des Zwecks werden die Daten gelöscht oder unkenntlich gemacht.

23. Ihre Rechte

Sie haben uns gegenüber die folgenden Rechte:

• Auskunft darüber, welche Daten wir über Sie verarbeiten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung Ihrer Daten (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen (Art. 21 DSGVO); siehe dazu den eigenen Abschnitt „Widerspruchsrecht“
• Widerruf einer erteilten Einwilligung, jederzeit und mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Wenden Sie sich dafür telefonisch an 040 33387961, schriftlich an CUT BY SULE · Hair Studio, Ochsenzoller Straße 133, 22848 Norderstedt, oder per E-Mail an info@cutbysule.de. Wir antworten unverzüglich, spätestens innerhalb eines Monats. Eine Löschung führen wir selbst durch; über die Website allein, etwa durch die Abmeldung vom Newsletter, werden keine Daten gelöscht.

Außerdem können Sie sich bei einer Datenschutz-Aufsichtsbehörde beschweren. Die für uns zuständige Behörde ist das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD), Holstenstraße 98, 24103 Kiel, Telefon +49 431 988-1200, E-Mail mail@datenschutzzentrum.de, www.datenschutzzentrum.de.

24. Widerspruchsrecht

Sie haben das Recht, jederzeit Widerspruch gegen die Verarbeitung Ihrer Daten einzulegen.

Soweit wir Ihre personenbezogenen Daten auf Grundlage eines berechtigten Interesses verarbeiten (Art. 6 Abs. 1 lit. f DSGVO), etwa zur geordneten Bearbeitung von Anfragen, zur geordneten Verwaltung unserer Kontakte, zur Sicherheit unserer Systeme oder zur Reichweitenmessung, können Sie dieser Verarbeitung aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen (Art. 21 Abs. 1 DSGVO). Legen Sie Widerspruch ein, verarbeiten wir die betreffenden Daten nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Verarbeiten wir Ihre Daten, um Direktwerbung zu betreiben, können Sie dieser Verarbeitung jederzeit widersprechen (Art. 21 Abs. 2 DSGVO); das gilt auch für ein damit verbundenes Profiling. Widersprechen Sie, verarbeiten wir Ihre Daten für diesen Zweck nicht mehr.

Der Widerspruch ist an keine Form gebunden und kostet Sie nichts. Eine Nachricht an die oben genannten Kontaktdaten genügt; eine Begründung brauchen Sie nur beim Widerspruch nach Art. 21 Abs. 1, nicht bei der Direktwerbung.

25. Automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung oder ein Profiling im Sinne des Art. 22 DSGVO findet auf dieser Website nicht statt.

26. Aktualität dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, sobald sich die auf dieser Website eingesetzten Funktionen oder die rechtlichen Vorgaben ändern. Maßgeblich ist stets die auf dieser Seite abrufbare Fassung.

Stand dieser Datenschutzerklärung: September 2026.