Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Wir betreiben unter blushy.at die Software-as-a-Service-Plattform „blushy" für Beauty- und Wellness-Studios („Dienst" oder „Plattform").

Ein Datenschutzbeauftragter ist gesetzlich nicht erforderlich. Bei allen Anliegen zum Datenschutz erreichen Sie uns unter datenschutz@blushy.at.

2. Doppelrolle: Verantwortlicher und Auftragsverarbeiter

blushy verarbeitet personenbezogene Daten in zwei unterschiedlichen Rollen. Diese Unterscheidung ist datenschutzrechtlich entscheidend:

2.1 Als Verantwortlicher

Für die Daten der Studios und deren Mitarbeitenden, die diese im Rahmen der Vertragsbeziehung mit uns angeben (Registrierung, Account, Abrechnung, Support), sowie für die Besucher dieser Website ist blushy Verantwortlicher im Sinne von Art. 4 Z 7 DSGVO.

2.2 Als Auftragsverarbeiter

Soweit ein Studio im Rahmen der Plattform Daten seiner Endkundinnen und Endkunden (Kontaktdaten, Terminhistorie, Behandlungsnotizen etc.) verarbeitet, ist das Studio Verantwortlicher und blushy Auftragsverarbeiter im Sinne von Art. 4 Z 8 DSGVO. Die Bedingungen dieser Auftragsverarbeitung sind im Auftragsverarbeitungsvertrag (AVV) geregelt, der mit jedem Studio bei der Registrierung verbindlich geschlossen wird.

Endkundinnen und Endkunden eines Studios wenden sich für Auskunfts-, Löschungs- oder sonstige Anfragen primär an das jeweilige Studio. blushy unterstützt das Studio bei der Erfüllung dieser Anfragen, kann aber nicht eigenständig über die Daten verfügen.

3. Verarbeitete Datenkategorien und Zwecke

3.1 Besuch der Website (blushy.at)

• Verarbeitete Daten: IP-Adresse (gekürzt), User-Agent, Referrer, Zugriffszeitpunkt, abgerufene URL, HTTP-Statuscode
• Zweck: Bereitstellung der Website, Sicherheit, Schutz vor Missbrauch und Angriffen (Bot-Schutz, DDoS-Abwehr)
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren, funktionsfähigen Website)

3.2 Registrierung und Verwaltung des Studio-Accounts

• Verarbeitete Daten: Vor- und Nachname, E-Mail-Adresse, Passwort (gehasht und gesalzen), Studio-Name, Sprache, Zeitzone, Rolle (z. B. Verwalter, Mitarbeiter)
• Zweck: Bereitstellung des Accounts, Authentifizierung, Mehrbenutzer-Verwaltung
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

3.3 Vertragsabwicklung und Abrechnung

• Verarbeitete Daten: Studio-Name, Anschrift, UID, Rechnungsdaten, Zahlungsmethode (tokenisiert über Stripe — wir speichern keine Kreditkartendaten), Abo-Status, Rechnungsverlauf
• Zweck: Vertrags- und Abrechnungsabwicklung, Steuer- und Buchführungspflichten
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung — BAO, UGB)

3.4 Endkundendaten in der Plattform (Auftragsverarbeitung für das Studio)

• Verarbeitete Daten: Vor- und Nachname, Kontaktdaten (E-Mail, Telefon, Adresse), Geburtsdatum, Termine, Behandlungen, gewählte Dienstleistungen, vom Studio hinterlegte Notizen, Bilder, Marketing-Einwilligungen, Zahlungsstatus
• Zweck: Bereitstellung der vom Studio genutzten Funktionen (Kalender, Kundenverwaltung, Buchung, Rechnungstellung, Erinnerungen, Marketing-Versand)
• Rolle blushy: Auftragsverarbeiter — Details siehe AVV
• Rechtsgrundlage: liegt beim Studio als Verantwortlichem (typischerweise Art. 6 Abs. 1 lit. b DSGVO sowie ggf. Art. 9 DSGVO bei Gesundheitsdaten)

3.5 Public-Booking (Online-Buchungsseite des Studios)

• Verarbeitete Daten: Vor- und Nachname, E-Mail, Telefonnummer, gewählte Dienstleistung, Wunschtermin, optionale Anmerkungen, Bot-Schutz-Token (Cloudflare Turnstile)
• Zweck: Buchungsabwicklung für das Studio, Missbrauchsschutz
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung mit dem Studio); Bot-Schutz Art. 6 Abs. 1 lit. f DSGVO

3.6 Versand von E-Mails, SMS und WhatsApp-Nachrichten

• Verarbeitete Daten: Empfänger-Adresse/Telefonnummer, Nachrichteninhalt, Versandzeitpunkt, Zustellstatus, Öffnungs- und Klick-Ereignisse (E-Mail)
• Zweck: Terminbestätigungen, Erinnerungen, Stornierungen, Marketing-Nachrichten (durch das Studio veranlasst)
• Rechtsgrundlage: abhängig vom Versandzweck: transaktionale Nachrichten Art. 6 Abs. 1 lit. b DSGVO (Vertrag); Marketing nur bei Einwilligung der Endkundin (Art. 6 Abs. 1 lit. a DSGVO, § 174 TKG 2021)

3.7 KI-gestützter Assistent „Lars"

• Verarbeitete Daten: studioseitig hinterlegte Wissensbasis (Behandlungen, Preise, Öffnungszeiten), eingehende Buchungs-, Terminänderungs- oder Informationsanfragen von Endkundinnen über E-Mail/WhatsApp
• Zweck: Automatisierte Vorschläge an das Studio (z. B. Buchungsvorschlag, Antwort-Vorschlag)
• Wichtig: Die finale Entscheidung trifft das Studio. Es findet keine automatisierte Einzelentscheidung im Sinne von Art. 22 DSGVO statt.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse des Studios und blushys an einer effizienten Bearbeitung von Anfragen). Details siehe Abschnitt 13.

3.8 Kalender-Integrationen

• Verarbeitete Daten: OAuth-Tokens, Kalenderereignisse (Titel, Zeit, Beschreibung) — sofern das Studio eine Integration aktiviert
• Zweck: Synchronisierung externer Kalender (z. B. Google Calendar)
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

3.9 Produktanalyse

• Verarbeitete Daten: pseudonymisierte Ereignisse (Seitenaufrufe, Klicks, Funktion-Nutzung), pseudonyme User-ID, Workspace-ID
• Zweck: Produktverbesserung und Stabilitätsmessung
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung über Cookie-Banner)

3.10 Server- und Sicherheits-Logs

• Verarbeitete Daten: Trace-IDs, HTTP-Methode, Pfad, Statuscode, User-ID, Workspace-ID, Fehlermeldungen (ohne Klarnamen von Endkundinnen)
• Zweck: Stabilität, Sicherheit, Fehleranalyse
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Stabilität und Sicherheit)

4. Rechtsgrundlagen im Überblick

• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung): nicht-essenzielle Cookies, Newsletter, Direktwerbung an Endkundinnen.
• Art. 6 Abs. 1 lit. b DSGVO (Vertrag): Account, Buchung, Zahlung, transaktionale Kommunikation.
• Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung): steuer- und handelsrechtliche Aufbewahrung (BAO, UGB), Bekämpfung von Geldwäsche.
• Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse): Sicherheit, Missbrauchsabwehr, Stabilität, Logging, Produktanalyse soweit von einer Einwilligung gedeckt nicht erforderlich.
• Art. 28 DSGVO (Auftragsverarbeitung): Verarbeitung von Endkundendaten im Auftrag der Studios — siehe AVV.

5. Auftragsverarbeiter (Sub-Processors)

Für den Betrieb der Plattform setzen wir sorgfältig ausgewählte Dienstleister („Sub-Auftragsverarbeiter") ein. Mit jedem dieser Anbieter haben wir einen Vertrag über die Auftragsverarbeitung gemäß Art. 28 DSGVO abgeschlossen, der die datenschutzrechtlichen Pflichten regelt.

Die jeweils aktuelle Liste der Sub-Auftragsverarbeiter steht auch als Anlage zum AVV (Abschnitt 8 der AGB) zur Verfügung. Wir informieren unsere Studios bei Änderungen vorab.

SCC = Standardvertragsklauseln der EU-Kommission, DPF = EU-US Data Privacy Framework.

6. Übermittlung in Drittländer

Einige der oben genannten Dienstleister haben ihren Sitz oder verarbeiten Daten außerhalb des Europäischen Wirtschaftsraums (EWR), insbesondere in den USA. Für diese Übermittlungen sichern wir ein angemessenes Datenschutzniveau auf folgenden Grundlagen:

• EU-US Data Privacy Framework (DPF): Anbieter, die unter dem DPF zertifiziert sind, garantieren ein nach dem Beschluss der EU-Kommission vom 10. Juli 2023 angemessenes Schutzniveau (Art. 45 DSGVO).
• Standardvertragsklauseln (SCC): Für Anbieter ohne DPF-Zertifizierung oder als zusätzliche Absicherung schließen wir die EU-Standardvertragsklauseln gemäß Durchführungsbeschluss (EU) 2021/914 ab.
• Zusätzliche Schutzmaßnahmen: Verschlüsselung der Daten bei Übertragung (TLS 1.2+), Verschlüsselung im Ruhezustand, Datenminimierung, Pseudonymisierung wo möglich.

Trotz dieser Maßnahmen weisen wir darauf hin, dass nach dem Urteil des Europäischen Gerichtshofs in der Rechtssache C-311/18 („Schrems II") in den USA insbesondere Zugriffe staatlicher Behörden möglich sind, die nicht vollständig mit EU-Datenschutzstandards übereinstimmen. Die Übermittlung erfolgt ausschließlich, soweit für den Vertragszweck erforderlich oder auf Grundlage einer Einwilligung.

7. Speicherdauer

Personenbezogene Daten werden nur so lange gespeichert, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen.

8. Ihre Rechte als betroffene Person

Sie haben in Bezug auf Ihre personenbezogenen Daten folgende Rechte:

• Auskunft (Art. 15 DSGVO): Information darüber, ob und welche Daten wir über Sie verarbeiten.
• Berichtigung (Art. 16 DSGVO): Korrektur unrichtiger oder Vervollständigung unvollständiger Daten.
• Löschung (Art. 17 DSGVO): Löschung Ihrer Daten, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Einschränkung der Verarbeitung (Art. 18 DSGVO).
• Datenübertragbarkeit (Art. 20 DSGVO): Erhalt Ihrer Daten in einem strukturierten, maschinenlesbaren Format. blushy bietet hierfür eine integrierte Exportfunktion.
• Widerspruch (Art. 21 DSGVO): Widerspruch gegen Verarbeitung auf Grundlage berechtigter Interessen, insbesondere bei Direktwerbung.
• Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO): Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an: datenschutz@blushy.at

Hinweis: Sind Sie Endkundin oder Endkunde eines Studios, das blushy einsetzt, ist primär das jeweilige Studio Ihr Ansprechpartner als Verantwortlicher. blushy unterstützt das Studio bei der Bearbeitung Ihrer Anfrage.

9. Cookies und vergleichbare Technologien

Wir verwenden auf blushy.at und in der Plattform Cookies, ähnliche Speichermechanismen (z. B. Local Storage) sowie Pixel. Diese unterteilen sich in:

9.1 Technisch notwendige Cookies (keine Einwilligung erforderlich)

• Authentifizierung und Aufrechterhaltung der Sitzung
• CSRF-Schutz
• Cloudflare Turnstile (Bot-Schutz)
• Cookie-Einwilligungsstatus

Rechtsgrundlage: § 165 Abs. 3 TKG 2021, Art. 6 Abs. 1 lit. f DSGVO.

9.2 Cookies, die eine Einwilligung erfordern

• Produktanalyse (PostHog): Pseudonymisierte Nutzungsstatistiken zur Produktverbesserung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO. Sie können Ihre Einwilligung jederzeit über den Link „Cookies verwalten" im Footer dieser Website widerrufen.

10. Marketing-Kommunikation und Newsletter

10.1 Newsletter an Studios (durch blushy versendet)

Wenn Sie sich für unseren Newsletter anmelden, verwenden wir das Double-Opt-In-Verfahren. Wir versenden Newsletter nur an E-Mail-Adressen, deren Inhaber die Anmeldung über einen Bestätigungslink verifiziert haben.

Sie können sich jederzeit über den in jedem Newsletter enthaltenen Abmeldelink wieder austragen. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO.

10.2 Marketing-Kommunikation der Studios an deren Endkundinnen

Studios können über blushy Marketing-Nachrichten (E-Mail, SMS, WhatsApp) an ihre eigenen Endkundinnen versenden. Für die Rechtmäßigkeit dieses Versands — insbesondere für das Vorliegen der erforderlichen Einwilligung (§ 174 TKG 2021, Art. 6 Abs. 1 lit. a DSGVO bzw. Art. 21 DSGVO) — ist das jeweilige Studio als Verantwortlicher zuständig. blushy stellt das technische Werkzeug bereit und übernimmt die Rolle des Auftragsverarbeiters; siehe AVV.

Jede über blushy versandte Marketing-Nachricht enthält einen klar erkennbaren Abmelde-Link (Opt-out), der durch einen signierten Token geschützt ist.

11. Online-Buchung (Public-Booking-Widget)

Studios können auf ihrer Website oder über eine eigene URL bei blushy eine Online-Buchungsseite betreiben. Wenn Sie als Endkundin/Endkunde eine Buchung vornehmen, werden Ihre Angaben (Name, Kontakt, Wunschtermin, ggf. Anmerkungen) an die Plattform übermittelt und im Auftrag des Studios verarbeitet.

Verantwortlicher für die Verarbeitung dieser Daten ist das jeweilige Studio. blushy ist Auftragsverarbeiter. Die Datenschutzerklärung des Studios ist daher zusätzlich zu dieser Erklärung maßgeblich und auf der Buchungsseite verlinkt.

Zum Schutz vor missbräuchlichen Buchungen verwenden wir Cloudflare Turnstile (Bot-Erkennung) im unsichtbaren Modus. Hierbei werden technische Daten (z. B. Browser-Verhalten, Geräte- und Interaktionssignale, Token) verarbeitet. Anbieter ist die Cloudflare, Inc. Ergänzend gelten der Turnstile-Datenschutzzusatz von Cloudflare sowie die Datenschutzerklärung von Cloudflare. Rechtsgrundlage ist unser berechtigtes Interesse an der Abwehr von Spam und automatisierten Zugriffen (Art. 6 Abs. 1 lit. f DSGVO).

12. WhatsApp-Kommunikation

Über die WhatsApp Business Cloud API von Meta können Studios mit ihren Endkundinnen via WhatsApp kommunizieren — etwa für Bestätigungen, Erinnerungen oder Antworten auf Anfragen. Die Verarbeitung erfolgt im Auftrag des Studios.

Voraussetzung für den Versand ist eine vorherige ausdrückliche Einwilligung der Endkundin (Opt-In), für deren Vorliegen das Studio einsteht. Es werden Telefonnummer, Nachrichteninhalt, Versandzeit und Zustellstatus verarbeitet. Bitte beachten Sie: Meta kann im Rahmen seiner technischen Verarbeitung Daten innerhalb des Meta-Konzerns sowie in die USA übermitteln (SCC + DPF).

Endkundinnen können den Empfang jederzeit durch Antwort mit „STOP" beenden.

13. KI-Assistent „Lars"

Studios können den KI-gestützten Assistenten „Lars" aktivieren, um eingehende Buchungs- und Informationsanfragen schneller zu bearbeiten. Lars greift auf eine vom Studio gepflegte Wissensbasis (Behandlungen, Preise, Öffnungszeiten) zurück.

13.1 Welche Daten werden verarbeitet?

• Wissensbasis-Inhalte des Studios
• Eingehende Nachrichten (E-Mail oder WhatsApp) zur Klassifikation und Antwort-Vorbereitung
• Konversations-Kontext (Konversations-ID, Zeitstempel)

13.2 Welche Anbieter werden eingesetzt?

• Anthropic PBC (Claude API): primärer KI-Anbieter. Wir haben mit Anthropic eine Vereinbarung getroffen, dass eingegebene Daten nicht zum Training der Modelle verwendet werden (Zero-Data-Retention).
• Google LLC (Gemini API): Fallback-Anbieter. Auch hier ist vereinbart, dass keine Eingaben zum Modelltraining verwendet werden.
• Langfuse GmbH (EU): Observability — Prompt/Antwort-Logs zur Qualitätssicherung mit 90 Tagen Speicherdauer.

13.3 Keine automatisierte Entscheidung

Lars erstellt ausschließlich Vorschläge. Die finale Entscheidung (z. B. Buchungsbestätigung, Antwort an die Kundin) trifft das Studio. Es findet keine ausschließlich automatisierte Entscheidung im Sinne von Art. 22 DSGVO statt.

13.4 Rechtsgrundlage

Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer effizienten Bearbeitung von Anfragen). Endkundinnen können der Verarbeitung über ihre Daten durch Lars jederzeit gegenüber dem Studio widersprechen.

14. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO)

blushy ist als Software für Beauty- und Wellness-Studios konzipiert. Behandlungsnotizen und Kundenprofile können je nach Konstellation (z. B. medizinische Kosmetik, Hautanalysen, Allergiehinweise) besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO umfassen.

Die Verantwortung für eine rechtmäßige Verarbeitung solcher Daten — insbesondere die Einholung der ausdrücklichen Einwilligung der betroffenen Person (Art. 9 Abs. 2 lit. a DSGVO) oder eine andere geeignete Rechtsgrundlage — liegt beim jeweiligen Studio als Verantwortlichem.

blushy stellt zum Schutz dieser Daten geeignete technische und organisatorische Maßnahmen bereit (Verschlüsselung, rollenbasiertes Berechtigungssystem, strikte Mandantentrennung; siehe Abschnitt 15 dieser Datenschutzerklärung sowie die TOM-Anlage zum AVV (Abschnitt 8.13 der AGB)).

15. Sicherheit der Verarbeitung

Wir setzen technische und organisatorische Maßnahmen entsprechend Art. 32 DSGVO ein, um Ihre Daten vor Verlust, Manipulation und unbefugtem Zugriff zu schützen, darunter:

• Transportverschlüsselung: Sämtliche Verbindungen über TLS 1.2 oder höher.
• Verschlüsselung im Ruhezustand: Datenbank und Dateispeicher verschlüsselt durch die jeweiligen Anbieter (Supabase, Cloudflare R2).
• Authentifizierung: Passwörter werden ausschließlich als gehashte, gesalzene Werte gespeichert (über Supabase Auth). Mehr-Faktor-Authentifizierung kann genutzt werden.
• Berechtigungssystem: Rollen- und workspace-basierte Zugriffskontrolle, strikte Mandantentrennung.
• Audit-Trail: Protokollierung sensibler Aktionen (z. B. Rollenänderungen, Datenexporte, Löschungen).
• Bot-Schutz: Cloudflare Turnstile auf öffentlichen Eingaben.
• Backups: Automatisierte, verschlüsselte Backups in EU-Rechenzentren.
• Notfallplan und Incident-Response: dokumentierter Prozess für Datenschutzvorfälle, Meldekette innerhalb von 72 Stunden gemäß Art. 33 DSGVO.

Eine detaillierte Übersicht über die technischen und organisatorischen Maßnahmen findet sich in der TOM-Anlage zum AVV (Abschnitt 8.13 der AGB).

16. Beschwerderecht bei der Aufsichtsbehörde

Wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen die DSGVO verstößt, haben Sie das Recht auf Beschwerde bei einer Aufsichtsbehörde. Zuständig in Österreich ist:

17. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, wenn sich rechtliche Rahmenbedingungen ändern oder wir Verarbeitungstätigkeiten erweitern. Bei wesentlichen Änderungen, die unsere Studios betreffen, informieren wir per E-Mail oder im Dashboard. Die jeweils aktuelle Version finden Sie stets auf dieser Seite.