Datenschutzerklärung

1. Verantwortliche

Goddess Berlin Inh. Lisa Reiterer e.K. Uhlandstraße 121, 10717 Berlin E-Mail: lisa@goddessberlin.de

Eine Datenschutzbeauftragte ist nicht bestellt, da keine gesetzliche Pflicht besteht. Anfragen richten Sie bitte an die oben genannte E-Mail-Adresse.

2. Zwei Rollen: Ihr Konto und die Daten Ihrer Kundinnen

Für die Daten Ihres Kontos, Ihres Studios und Ihrer Abrechnung sind wir verantwortlich; dafür gilt diese Datenschutzerklärung.

Die Daten Ihrer Endkundinnen (z. B. Namen, Fotos, Behandlungen, Einwilligungen) verarbeiten wir ausschließlich in Ihrem Auftrag. Verantwortlich dafür sind Sie als Studio; es gilt der Vertrag zur Auftragsverarbeitung (AVV). Ihre Endkundinnen informieren Sie selbst über die Datenverarbeitung.

3. Welche Daten wir verarbeiten und warum

• Konto: Name, E-Mail-Adresse, Passwort (nur verschlüsselt als Hash), Sprache – zur Bereitstellung der Plattform (Art. 6 Abs. 1 lit. b DSGVO).
• Studio & Team: Studioname, Land, Rollen der Teammitglieder – zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
• Abo & Zahlung: gewählter Tarif, Status, Rechnungsdaten. Zahlungsdaten (z. B. Kartennummer) werden ausschließlich von Stripe verarbeitet und erreichen uns nicht (Art. 6 Abs. 1 lit. b und c DSGVO).
• Zustimmungen: Zeitpunkt und Fassung akzeptierter AGB, Datenschutzhinweise und AVV – zum Nachweis (Art. 6 Abs. 1 lit. c und f DSGVO).
• Technische Protokolle: IP-Adresse, Zeitpunkt, aufgerufene Seite, Browser – zur Sicherheit und Fehlerbehebung, Speicherung beim Hoster kurzfristig (Art. 6 Abs. 1 lit. f DSGVO).

4. Gesichtserkennung im Brow & Lip Studio

Die Erkennung von Augen, Nase und Lippen erfolgt direkt im Browser Ihres Geräts. Das Foto wird dafür nicht an Dritte übermittelt. Programm- und Modelldateien werden von unserem eigenen Server geladen.

Es findet keine biometrische Identifizierung von Personen statt; es werden lediglich Bildpunkte für die visuelle Darstellung bestimmt.

5. Cookies und lokale Speicherung

Wir verwenden ausschließlich technisch notwendige Cookies: für die Anmeldung (Sitzung), die gewählte Sprache und das aktive Studio (§ 25 Abs. 2 Nr. 2 TDDDG). Es gibt keine Analyse-, Tracking- oder Werbe-Cookies. Daher ist kein Cookie-Banner erforderlich.

Schriftarten werden von unserem eigenen Server ausgeliefert; es erfolgt keine Verbindung zu Google Fonts.

5a. Schutz vor Missbrauch (Cloudflare Turnstile)

Bei der Anmeldung, der Registrierung, beim Zurücksetzen des Passworts sowie bei Passwort-Bestätigungen innerhalb der Plattform (z. B. Beenden des Beratungsmodus, Löschen von Studio oder Konto) setzen wir den Dienst „Turnstile“ der Cloudflare, Inc. (101 Townsend St., San Francisco, CA 94107, USA) ein. Turnstile prüft, ob die Eingabe von einem Menschen oder einem automatisierten Programm (Bot) stammt.

Dabei werden insbesondere die IP-Adresse, technische Merkmale der Verbindung und des Browsers (z. B. TLS-Merkmale, User-Agent) sowie die aufrufende Website an Cloudflare übermittelt und ausgewertet. Die Prüfung läuft in der Regel unsichtbar; nur in Zweifelsfällen wird ein Kästchen angezeigt. Es werden keine Werbe- oder Tracking-Cookies gesetzt.

Cloudflare verarbeitet diese Daten für die Prüfung in unserem Auftrag; zur Verbesserung der eigenen Bot-Erkennung handelt Cloudflare nach eigenen Angaben als eigenständig Verantwortliche.

Rechtsgrundlage ist unser berechtigtes Interesse am Schutz der Konten und der Plattform vor automatisierten Angriffen (Art. 6 Abs. 1 lit. f DSGVO); der Zugriff auf Informationen im Endgerät ist hierfür unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

Eine Übermittlung in die USA ist möglich; sie erfolgt auf Grundlage des EU-U.S. Data Privacy Framework bzw. von EU-Standardvertragsklauseln. Weitere Informationen: cloudflare.com/turnstile-privacy-policy und cloudflare.com/privacypolicy.

6. Empfänger und Auftragsverarbeiter

Wir setzen sorgfältig ausgewählte Dienstleister ein, mit denen Verträge zur Auftragsverarbeitung bestehen:

• Supabase Inc. (USA; Infrastruktur über Amazon Web Services) – Datenbank, Anmeldung, verschlüsselter Dateispeicher. Serverstandort: EU (Frankfurt am Main, Deutschland). Übermittlungen in die USA sind durch EU-Standardvertragsklauseln abgesichert.
• Vercel Inc. (USA) – Hosting der Anwendung, Serverstandort Frankfurt am Main (fra1). Übermittlungen in die USA sind durch EU-Standardvertragsklauseln abgesichert.
• Resend, Inc. (USA) – Versand von System-E-Mails (z. B. Bestätigung, Willkommen, Team-Einladungen) und – nur mit Einwilligung der Endkundin – Touch-up-Erinnerungen. Versandregion: EU (Irland). Übermittlungen in die USA sind durch EU-Standardvertragsklauseln abgesichert.
• Stripe Payments Europe Ltd. (1 Grand Canal Street Lower, Dublin 2, Irland) – Zahlungsabwicklung, Rechnungen, Steuerberechnung. Stripe ist für die Zahlungsabwicklung teilweise eigenständig verantwortlich; Datenschutzhinweise: stripe.com/de/privacy.
• Cloudflare, Inc. (USA) – Schutz vor Missbrauch durch Bots (Turnstile), siehe Abschnitt 5a.

Eine Übermittlung in Drittländer erfolgt nur mit geeigneten Garantien (EU-Standardvertragsklauseln bzw. Angemessenheitsbeschluss / EU-U.S. Data Privacy Framework).

7. Speicherdauer

Kontodaten speichern wir für die Dauer des Vertrags. Nach Löschung des Kontos werden die Daten innerhalb von 30 Tagen gelöscht. Rechnungs- und Buchungsbelege bewahren wir gemäß den gesetzlichen Fristen auf (bis zu 10 Jahre, § 147 AO, § 257 HGB).

8. Sicherheit

Die Übertragung erfolgt verschlüsselt (TLS). Daten verschiedener Studios sind technisch voneinander getrennt. Fotos liegen in einem privaten Speicher und sind nur über kurzlebige, signierte Links abrufbar; Standort- und Kameradaten (EXIF) werden vor dem Upload entfernt. Wichtige Vorgänge werden protokolliert.

9. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Wenden Sie sich dazu an die oben genannte E-Mail-Adresse.

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel bei der für uns zuständigen Behörde: Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59–61, 10555 Berlin.

Eine automatisierte Entscheidungsfindung einschließlich Profiling findet nicht statt.

10. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich die Plattform oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung. Stand: 24.09.2026.