1. Rollen: Salon und KAMAS
Der Salon, welcher die Plattform nutzt, ist Verantwortlicher (Controller) für die Daten seiner Endkundinnen und Endkunden: Er entscheidet, welche Termine erfasst werden, welche Angaben eingetragen werden und zu welchen Zwecken sie verwendet werden.
KAMAS ist der Software-Anbieter (SaaS) und handelt als Auftragsbearbeiter (Processor), wenn Kundendaten im Auftrag des Salons technisch bearbeitet werden, gestützt auf die Weisungen in den AGB und im Anhang A — Data Processing Addendum.
Für Daten, die KAMAS zu eigenen berechtigten Zwecken bearbeitet, ist KAMAS Verantwortlicher: Geschäftskonto des Salons und der Mitarbeitenden, Sicherheit der Plattform, Missbrauchsprävention, Administration und Abrechnung des Abonnements.
KAMAS nutzt die Kundendaten der Salons nicht für eigene kommerzielle Zwecke, Marketing, Werbung, Profiling oder CRM-Aktivitäten. Soweit diese Daten im Rahmen des Buchungsdienstes technisch bearbeitet werden, bearbeitet KAMAS sie ausschliesslich im Umfang, der erforderlich ist, um den Dienst im Auftrag des Salons bereitzustellen, zu betreiben und zu schützen.
Operativer Sitz: Zürich, Schweiz. Datenschutzanfragen können an die vom Salon auf seiner Seite veröffentlichte Kontaktadresse oder an KAMAS über die in der Plattform angegebene Kontaktadresse gerichtet werden.
2. Erhobene Personendaten
- Buchungsdaten: Vor- und Nachname, E-Mail-Adresse, Telefonnummer im internationalen Format, gewählte Dienstleistung, Fachperson, Datum und Uhrzeit des Termins sowie allfällige Bemerkungen der Kundin oder des Kunden.
- Daten des Geschäftskontos: Name der Inhaberin oder des Inhabers, Salonname, vollständige Adresse, PLZ, Ort, Land, E-Mail, Telefon, gewählte Subdomain, bevorzugte Sprache.
- Abrechnungs- und Abonnementsdaten: Abonnementsstatus, Rechnungshistorie, SMS-Verbrauch. Kreditkartendaten werden ausschliesslich vom Zahlungsdienstleister verarbeitet und nie von KAMAS gespeichert.
- Notwendige technische Daten: IP-Adresse, Geräte- und Browsertyp, Zugriffs- und Sicherheitsprotokolle (Anmeldeversuche, Zwei-Faktor-Prüfungen).
3. Zwecke und Rechtsgrundlagen
- Vertragserfüllung: Verwaltung der Buchungen, Terminerinnerungen, Erbringung der Dienstleistung im Salon, Abrechnung des Abonnements.
- Gesetzliche Pflicht: Aufbewahrung der Buchhaltungsunterlagen nach Schweizer Recht.
- Berechtigtes Interesse: Sicherheit der Plattform, Missbrauchsprävention, aggregierte und anonyme Nutzungsstatistiken.
- Einwilligung: Werbemitteilungen per SMS oder E-Mail sowie Einsatz nicht notwendiger Cookies. Die Einwilligung kann jederzeit widerrufen werden.
4. Kontakt- und Buchungsformulare
Die Formulare verlangen nur jene Daten, die zur Bestätigung und Verwaltung des Termins erforderlich sind (Datenminimierung). Mit dem Absenden gilt diese Erklärung als zur Kenntnis genommen; ohne gesonderte Einwilligung werden keine Daten für Werbezwecke verwendet. Terminerinnerungen, die bis drei Stunden vorher versendet werden, gehören zur bestellten Leistung und sind keine Werbung.
5. Anbieter und Bekanntgabe an Dritte
Daten werden nie verkauft oder zu Marketingzwecken an Dritte weitergegeben. Es gibt keine salonübergreifende Kundendatenbank, kein globales CRM und keinen globalen Kundenexport.
Einzelne dieser Anbieter sind Unternehmen mit Sitz oder Strukturen ausserhalb der Schweiz und des Europäischen Wirtschaftsraums und können Daten in bestimmten Situationen in Drittstaaten bearbeiten. In diesen Fällen erfolgt die Übermittlung gestützt auf die vom anwendbaren Recht vorgesehenen Garantiemechanismen und die mit dem Anbieter vereinbarten Datenschutzbedingungen. KAMAS nennt für einen Anbieter keinen spezifischen Übermittlungsmechanismus, solange dieser für das konkrete Szenario nicht überprüft ist.
- Supabase (verwaltete PostgreSQL-Datenbank auf AWS-Infrastruktur, EU-Region): Hosting der Produktionsdatenbank. Datenkategorien: Buchungen, Geschäftskonten, technische Daten und Applikationsprotokolle.
- Twilio: Versand der Bestätigungs-SMS, Erinnerungen und betrieblichen Mitteilungen zu Terminen. Datenkategorien: Telefonnummer und Nachrichteninhalt.
- Stripe: Verwaltung des Abonnements des Salons und der zugehörigen Zahlungen. Datenkategorien: Abrechnungsdaten des Salons; Kartendaten werden ausschliesslich von Stripe bearbeitet und nie von KAMAS gespeichert.
- Resend: Versand transaktionaler E-Mails, insbesondere der Passwortwiederherstellung. Datenkategorien: E-Mail-Adresse und Nachrichteninhalt.
- Zuständige Behörden, ausschliesslich soweit gesetzlich vorgeschrieben.
6. Aufbewahrung
Personendaten in Buchungen werden höchstens vierundzwanzig Monate aufbewahrt. Ein automatisierter nächtlicher Prozess in der Datenbank anonymisiert die Personendaten abgelaufener Buchungen (Name, Telefon, E-Mail und Bemerkungen) und löscht nicht mehr benötigte Kundenprofile und Zugriffstoken.
Daten, die für buchhalterische und administrative Pflichten erforderlich sind, insbesondere Rechnungen und Abonnementsunterlagen des Salons, werden getrennt bearbeitet und gemäss den anwendbaren Pflichten aufbewahrt, in der Regel zehn Jahre nach Schweizer Obligationenrecht.
Backups und Protokolle der Infrastrukturanbieter folgen den Betriebszyklen der jeweiligen Dienste: Diese Erklärung nennt keine spezifische Dauer oder Lokalisierung der Backups, da diese Konfiguration nicht durch den Applikationscode bestimmt wird. Bei Schliessung eines Geschäftskontos werden die Daten des Salons deaktiviert und anschliessend gelöscht, vorbehältlich gesetzlicher Aufbewahrungspflichten.
7. Sicherheit
Der Datenzugriff ist durch Authentifizierung, salonweise Isolation auf Datenbankebene mittels Row Level Security (kein salonübergreifender Zugriff), Verschlüsselung während der Übertragung und für alle Geschäftskonten verfügbare Zwei-Faktor-Authentifizierung geschützt. Passwörter werden von Supabase Auth verwaltet, ausschliesslich gehasht gespeichert und unterliegen Mindestanforderungen an die Komplexität.
Der technische Zugriff von KAMAS-Personal auf Daten eines Salons ist auf das für Wartung, Sicherheit und Support strikt Notwendige beschränkt und untersteht einer Vertraulichkeitspflicht.
8. Rechte der betroffenen Personen
Anfragen werden innert dreissig Tagen bearbeitet. Zudem kann Beschwerde beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) in Bern oder, für Personen mit Wohnsitz in der Europäischen Union, bei der zuständigen Aufsichtsbehörde nach DSGVO eingereicht werden.
- Recht auf Auskunft über die eigenen Personendaten.
- Recht auf Berichtigung unrichtiger oder unvollständiger Daten.
- Recht auf Löschung im Rahmen der gesetzlichen Aufbewahrungspflichten.
- Recht auf Einschränkung und Widerspruch gegen die Bearbeitung.
- Recht auf Datenübertragbarkeit in einem lesbaren Format.
- Recht, die Einwilligung jederzeit zu widerrufen.
9. Minderjährige
Buchungen für Minderjährige unter sechzehn Jahren müssen durch einen Elternteil oder die sorgeberechtigte Person erfolgen, die für die Richtigkeit der Angaben einsteht.
10. Änderungen
Diese Erklärung kann aufgrund rechtlicher oder technischer Änderungen angepasst werden. Das Datum der letzten Aktualisierung steht oben auf der Seite; wesentliche Änderungen werden registrierten Nutzenden mitgeteilt.
11. Buchungsbemerkungen und Gesundheitsdaten
Die Plattform ist nicht für die Erhebung oder Verwaltung von Gesundheitsdaten bestimmt. Die Bemerkungsfelder dienen ausschliesslich organisatorischen Angaben zum Termin und zeigen einen ausdrücklichen Hinweis, keine medizinischen Informationen oder persönlichen Gesundheitsdaten einzutragen.
KAMAS führt keine Gesundheitsdatenbanken, klassifiziert Bemerkungen nicht, analysiert sie nicht automatisch und nimmt kein Profiling über deren Inhalt vor.
12. Keine kommerzielle Nutzung der Kundendaten
KAMAS nutzt die Daten der Endkundinnen und Endkunden nicht für eigenes Marketing, Werbung, Profiling oder CRM, aggregiert sie nicht salonübergreifend und stellt sie anderen Salons nicht zur Verfügung. Allfällige Werbemitteilungen werden ausschliesslich vom Salon versendet, in dessen Verantwortung und im Rahmen der eingeholten Einwilligung.