Datenschutz

Wenn du als Studio ein Nuvical-Konto anlegst, verarbeiten wir Name, E-Mail-Adresse und Passwort (verschlüsselt gespeichert), um dein Konto bereitzustellen.

Kundinnen und Kunden eines Studios melden sich ohne Passwort an: Sie geben ihre E-Mail-Adresse oder Telefonnummer ein und erhalten einen einmaligen Anmeldecode per E-Mail, SMS oder WhatsApp. Dafür verarbeiten wir die angegebene Adresse bzw. Nummer und den Code, der nur kurz gültig ist. Den Versand übernehmen die in Ziffer 10 genannten Dienstleister.

Rechtsgrundlage ist jeweils Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Anmelde- und Sicherheitsprotokolle. Anmeldungen und Anmeldeversuche im Verwaltungsbereich protokollieren wir mit Zeitpunkt, IP-Adresse, Geräte- und Browserangaben (User-Agent), dem betroffenen Konto sowie Erfolg oder Fehlschlag. Änderungen, die Studio-Verantwortliche oder unser Support vornehmen (zum Beispiel an Rollen, Rechten oder Einstellungen), protokollieren wir mit Konto, Zeitpunkt und Art der Änderung. Zweck ist die Sicherheit unserer Systeme: Missbrauch und unbefugte Zugriffe erkennen und abwehren sowie Änderungen nachvollziehen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; zugleich erfüllen wir damit unsere Pflichten aus Art. 32 DSGVO. Fehlgeschlagene Anmeldeversuche löschen wir nach 7 Tagen. Bei erfolgreichen Anmeldungen kürzen wir die IP-Adresse nach 30 Tagen und entfernen die Geräteangaben, nach 90 Tagen löschen wir den Eintrag. Bei allen übrigen Protokolleinträgen entfernen wir die IP-Adresse nach 90 Tagen und löschen den Eintrag nach 3 Jahren. Nachweise über die Zustimmung zu unseren Vertragsbedingungen bewahren wir auf, solange der Vertrag besteht und Ansprüche daraus geltend gemacht werden können.

Mit der Nuvical-App buchst und verwaltest du Termine bei Studios, die Nuvical nutzen. Termin-, Kunden- und Zahlungsdaten verarbeiten wir dabei im Auftrag des jeweiligen Studios (siehe Ziffer 5). Zusätzlich gilt:

Mitteilungen (Push). Erst wenn du angemeldet bist und Mitteilungen auf deinem Gerät erlaubst, erzeugt dein Gerät eine Push-Kennung (Token). Wir speichern sie zusammen mit Betriebssystem, App-Version und App-Sprache, um dir Mitteilungen zu schicken. Das Anlegen der Push-Kennung ist für den von dir gewünschten Mitteilungsdienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Terminbestätigungen, Erinnerungen, Absagen und Hinweise zu gekauften Gutscheinen senden wir auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Werbliche Mitteilungen eines Studios, etwa ein Angebot nach längerer Zeit ohne Besuch, erhältst du nur, wenn du Werbung zugestimmt hast (Art. 6 Abs. 1 lit. a DSGVO). Beim Abmelden oder Löschen des Kontos entfernen wir die Push-Kennung. Du kannst Mitteilungen jederzeit in den Einstellungen deines Geräts abschalten.

Zugestellt werden die Mitteilungen über die Dienste der Gerätehersteller. Auf Android nutzen wir Firebase Cloud Messaging der Google Ireland Ltd. als Auftragsverarbeiter (siehe Ziffer 10). Auf dem iPhone stellt der Apple Push Notification Service die Mitteilungen zu. Apple (Apple Distribution International Ltd., Hollyhill Industrial Estate, Cork, Irland) verarbeitet dabei Push-Kennung, Zeitpunkt und Inhalt der Mitteilung in eigener Verantwortung. In beiden Fällen ist eine Übermittlung in die USA möglich. Sie ist bei Google über das EU-US Data Privacy Framework und EU-Standardvertragsklauseln abgesichert, bei Apple über EU-Standardvertragsklauseln. Näheres: apple.com/legal/privacy.

Berechtigungen. Die App fragt nur nach Zugriffen, die eine Funktion braucht, und erst, wenn du sie benutzt. Du kannst jede Berechtigung in den Einstellungen deines Geräts wieder entziehen.

• Kamera: zum Scannen des QR-Codes im Studio, für dein Profilbild und für Fotos zu deinem Termin. Fotos werden nur übertragen, wenn du sie selbst speicherst oder sendest. Den QR-Code erkennt die App vollständig auf deinem Gerät.
• Kalender: nur zum Eintragen deiner Termine in deinen Gerätekalender. Die App liest deinen Kalender nicht.
• Face ID oder Fingerabdruck: zum schnellen Entsperren der App. Die Prüfung übernimmt dein Gerät. Wir erhalten keine biometrischen Daten, nur das Ergebnis.

Konto löschen. Du kannst dein Konto direkt in der App löschen: Profil, Persönliche Daten, Konto löschen. Dabei entfernen wir deine persönlichen Daten bei allen Studios, mit denen dein Konto verbunden ist, und sperren dein Anmeldekonto. Buchungen und Rechnungen bleiben ohne Bezug zu deiner Person erhalten, soweit Studios sie aus gesetzlichen Gründen aufbewahren müssen. Weitere Wege findest du unter Datenlöschung.

Abrechnung unserer Tarife. Die Entgelte für Nuvical ziehen wir über Stripe Payments Europe Ltd. (Irland) ein. Dabei werden zahlungsbezogene Daten an Stripe übermittelt; eine Übermittlung in die USA ist möglich und über EU-Standardvertragsklauseln abgesichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Zahlungen an Studios. Bezahlst du bei einem Studio über Nuvical, etwa eine Anzahlung, einen Gutschein oder vor Ort per Karte, ist das Studio Zahlungsempfänger und für diese Daten verantwortlich. Die Zahlung wickelt der vom Studio gewählte Zahlungsdienstleister ab (derzeit Stripe oder Viva.com), bei dem das Studio ein eigenes Konto führt. Wir übermitteln im Auftrag des Studios nur die für die Zahlung nötigen Angaben (Betrag, Leistung und gegebenenfalls deine E-Mail-Adresse) und erhalten den Zahlungsstatus. Näheres findest du in der Datenschutzerklärung des Studios und des jeweiligen Zahlungsdienstleisters.

Apple Pay und Google Pay. Bezahlst du in der App mit Apple Pay oder Google Pay, verarbeitet der jeweilige Anbieter (Apple Distribution International Ltd. bzw. Google Ireland Ltd., beide Irland) deine Zahlungsdaten in eigener Verantwortung. Das Studio und sein Zahlungsdienstleister erhalten dabei nicht deine Kartennummer, sondern eine verschlüsselte Zahlungskennung.

Betrugsprävention. Stripe verarbeitet bei Zahlungen zusätzlich Zahlungs- und Gerätedaten in eigener Verantwortung, um Betrug zu verhindern (Art. 6 Abs. 1 lit. f DSGVO). Näheres: stripe.com/privacy.

In allen Fällen werden vollständige Karten- oder Kontodaten ausschließlich beim Zahlungsdienstleister verarbeitet, nicht bei uns.