Redaktioneller Entwurf vom 16.10.2026: Technischer Abgleich mit dem Quellcode, keine anwaltliche Prüfung. Die als „Betreiberangabe erforderlich“ bezeichneten Angaben sind vor Veröffentlichung als vollständige Datenschutzerklärung zu ergänzen. Dies gilt auch für gegebenenfalls aus der Datenbank geladene Texte.
Diese Hinweise betreffen Websitebesucher, private und gewerbliche Software-Abonnenten sowie Kunden und Teammitglieder nutzender Betriebe. Die Abschnitte 2 bis 10 beschreiben Zwecke, Funktionen und Dienste. Offene Rechtsgrundlagen, Speicherfristen und Empfängerangaben stehen in den Abschnitten 11 bis 13; deine Rechte und Beschwerdemöglichkeiten in den Abschnitten 14 und 15. Die Hinweise sind keine Einwilligung in sämtliche beschriebenen Verarbeitungen.
1. Verantwortlicher Verantwortlicher für die Datenverarbeitung im Sinne der DSGVO ist: MobileBooking Ein Produkt von Adcurate Marco Miller Wangeroogestr. 23c 49661 Cloppenburg Deutschland E-Mail: info@mobilebooking.pro Die vorstehenden Angaben Marco Miller / Adcurate, Wangeroogestr. 23c, 49661 Cloppenburg und info@mobilebooking.pro wurden vom Betreiber bestätigt. Rechtsform: Einzelunternehmen. Telefonnummer: 0176 31759928. Kein Registereintrag. Ob eine Umsatzsteuer- oder Wirtschafts-Identifikationsnummer vorhanden ist, bleibt offen. Falls ein Datenschutzbeauftragter benannt ist oder benannt werden muss, sind dessen Kontaktdaten zu ergänzen. 2. Allgemeine Hinweise zur Datenverarbeitung MobileBooking umfasst neben Website und Warteliste eine Anwendung zur Kunden-, Termin- und Betriebsverwaltung sowie technisch angebundene Abo- und Zahlungsfunktionen. Diese Prüffassung beschreibt die im Quellcode feststellbaren Verarbeitungen. Welche optionalen Funktionen in einem Betrieb tatsächlich verfügbar und aktiviert sind, hängt von dessen Konfiguration und Freischaltung ab; eine produktive Aktivierung aller genannten Dienste ist damit nicht bestätigt. Software-Abonnements werden sowohl Unternehmern als auch Privatverbrauchern angeboten. Private Abonnenten sind von Endkunden zu unterscheiden, die über die Plattform eine Leistung eines Betriebs buchen. Die nachstehenden Hinweise zu Betriebsdaten bedeuten nicht, dass jeder Software-Abonnent unternehmerisch handelt. Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, zum Beispiel Name, E-Mail-Adresse, Standortangaben, Nutzungsdaten oder technische Zugriffsdaten. 2.1 Konto, Betrieb und Buchungen Bei Registrierung, Anmeldung und Nutzung können insbesondere Kontaktdaten, Anmeldedaten, Benutzer- und Betriebskennungen, Teamzugehörigkeiten, Rollen und Berechtigungen verarbeitet werden. Für Kundenverwaltung und Buchungen sind Namen, E-Mail-Adressen, Telefonnummern, Adressen und Koordinaten, ausgewählte Leistungen, Terminzeiten, Dauer, Preise, Status und Notizen vorgesehen. Die Daten werden vom jeweiligen Betrieb eingegeben oder über öffentliche Buchungsformulare übermittelt und in Supabase verarbeitet. Berechtigte Teammitglieder können entsprechend ihren Zugriffsrechten darauf zugreifen. Zwecke sind insbesondere Kontozugang, Verwaltung des Betriebs, Bearbeitung von Buchungsanfragen, Terminplanung, Kommunikation sowie die Berechnung von Anfahrten und Verfügbarkeit. Buchungsanfragen können durch technische Verfügbarkeits-, Fahrzeit- und Missbrauchsprüfungen angenommen, zur Prüfung vorgemerkt oder abgewiesen werden. Bei aktiviertem und freigeschaltetem Marktplatzeintrag werden die dafür vorgesehenen Betriebsprofildaten öffentlich abrufbar, darunter Anzeigename, Profilbeschreibung und Bilder, Stadt und Region, Kategorien, ausgewählte Leistungen, Preisangaben und gegebenenfalls Bewertungen. Der Betrieb muss vor der Veröffentlichung prüfen, welche Personenangaben seine Profiltexte und Bilder enthalten. 2.2 Verantwortlichkeiten und besondere Daten Bei Daten, die ein Betrieb für seine eigenen Kunden und Termine verarbeitet, ist die datenschutzrechtliche Verantwortlichkeit des Betriebs von den eigenen Verarbeitungszwecken des Plattformbetreibers zu unterscheiden. Soweit MobileBooking dabei als Auftragsverarbeiter tätig wird, ist ein Vertrag nach Art. 28 DSGVO erforderlich. Die Nutzung der Anwendung und diese Datenschutzhinweise ersetzen einen solchen Vertrag nicht. Betreiberangabe erforderlich: Die Rollenverteilung je Verarbeitung, die Information der Kunden des jeweiligen Betriebs, die Rechtsgrundlagen und ein tatsächlich vereinbarter Auftragsverarbeitungsvertrag einschließlich Unterauftragnehmern und technischen und organisatorischen Maßnahmen sind zu dokumentieren. Ein Vertragsabschluss wird hier nicht behauptet. Formular- und Gesundheitsfunktionen sind gesondert freischaltbar. Bei deren Nutzung können Antworten, gesundheitsbezogene Angaben und elektronische Unterschriftsbilder in Supabase und dessen Dateispeicher verarbeitet werden. Auch allgemeine Notizfelder können solche Informationen enthalten. Eine allgemeine Zustimmung zu AGB oder Datenschutzhinweisen reicht als Nachweis einer zulässigen Verarbeitung von Gesundheitsdaten nicht aus. Betreiberangabe erforderlich: Zweck, erforderlicher Umfang und tragfähige Grundlage nach Art. 6 und Art. 9 DSGVO sowie gegebenenfalls ein gesonderter Einwilligungsnachweis sind vor der entsprechenden Verarbeitung festzulegen. 2.3 Team, Zeiterfassung und Lohnläufe Bei Nutzung der entsprechenden Funktionen können Teamzuordnung, Beschäftigungsart, Schichtzeiten, Ein- und Ausstempelereignisse, Pausen und daraus ermittelte Arbeitsstunden sowie hinterlegte Stundensätze verarbeitet werden. Lohnlaufdaten enthalten Abrechnungszeiträume, Beträge und Statusangaben; vorhandene Positionen können auch Provisionen, Trinkgelder, Boni und Abzüge enthalten. Die Verarbeitung erfolgt in Supabase zur betrieblichen Zeit- und Abrechnungsverwaltung. Diese Beschreibung behauptet weder eine vollständige Entgeltabrechnung noch eine tatsächliche Auszahlung. Für die Prüfung älterer Lohnläufe ist ein gesonderter Inhabernachweis vorgesehen. Er enthält die Kennung der prüfenden Person, Prüfzeitpunkt, Begründung, Bestätigungen sowie eine Kopie der geprüften Abrechnungsdaten und Prüfsummen. Freigabe- und Statusänderungen können weitere Personenkennungen und Zeitpunkte enthalten. Prüfsummen machen die zugrunde liegenden personenbezogenen Daten nicht anonym. Der Zeiterfassungsablauf kann beim Auslösen einer Stempelaktion die Standortfunktion des Geräts anfragen und bereitgestellte Koordinaten dem Ereignis zuordnen. Eine dauerhafte Standortüberwachung oder ein produktiver Einsatz dieser Erfassung wird hier nicht behauptet. Eine technische Browserfreigabe ist für sich allein kein Nachweis einer wirksamen datenschutzrechtlichen Einwilligung. Betreiberangabe erforderlich: Der nutzende Betrieb muss Zwecke, Erforderlichkeit, Zugriffsberechtigte und die passende Rechtsgrundlage für Beschäftigtendaten und gegebenenfalls Standortdaten klären, einschließlich einschlägiger beschäftigungsrechtlicher Regelungen und Beteiligungsrechte. Insbesondere sind § 26 BDSG und Art. 88 DSGVO zu prüfen; weder eine pauschale Einwilligung noch Art. 6 Abs. 1 lit. b DSGVO wird für sämtliche Teamdaten vorausgesetzt. Informationspflichten gegenüber Beschäftigten, Speicher- und Löschkriterien sowie die Rollen und Verträge zwischen Betrieb, MobileBooking und technischen Dienstleistern sind zu bestätigen. Die Auftragsverarbeitung ist von eigenen Verarbeitungszwecken des Plattformbetreibers zu unterscheiden. 3. Aufruf der Website Beim Aufruf unserer Website werden technisch erforderliche Informationen verarbeitet, um die Seite sicher und stabil auszuliefern. Hierzu können insbesondere gehören: - IP-Adresse - Datum und Uhrzeit des Zugriffs - aufgerufene Seiten und Dateien - Browsertyp und Browserversion - verwendetes Betriebssystem - Referrer-URL - technische Request- und Logdaten Die Verarbeitung erfolgt zur Bereitstellung, Sicherheit und Stabilität der Website auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in einem sicheren, performanten und zuverlässigen Betrieb unseres Onlineangebots. 4. Warteliste / Early Access Wenn du dich über unsere Website in die MobileBooking-Warteliste einträgst oder Early-Access-Interesse bekundest, verarbeiten wir die von dir im Formular angegebenen Daten. Dabei können insbesondere folgende Daten verarbeitet werden: - Name - E-Mail-Adresse - Stadt bzw. Standort - Business-Typ / Tätigkeitsbereich - Plan-Interesse - Kampagnen- und Herkunftsdaten wie UTM-Parameter - Zeitpunkt der Einwilligung - dokumentierter Einwilligungstext - interne Statusinformationen zur Verwaltung der Warteliste, zum Beispiel neu, kontaktiert, eingeladen oder konvertiert Zwecke der Verarbeitung sind insbesondere: - Verwaltung der Warteliste - Bearbeitung von Early-Access-Anfragen - Versendung von Bestätigungen - Kontaktaufnahme im Zusammenhang mit MobileBooking - Einladungen zu Testzugängen, Betaphasen oder Produktstarts - interne Auswertung der Nachfrage und Kampagnenleistung Betreiberangabe erforderlich: Für Wartelistenverwaltung, angefragte vorvertragliche Kommunikation und werbliche Nachrichten sind Zwecke und Rechtsgrundlagen getrennt festzulegen. Eine Eintragung oder Zustimmung zu AGB stellt für sich allein keine pauschale Werbeeinwilligung dar. Du kannst eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Ein solcher Widerruf berührt die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung nicht. 5. E-Mail-Kommunikation E-Mail-Funktionen sind für Konto- und Zugangsnachrichten, Buchungsbestätigungen und Erinnerungen, Support, Abo-Kommunikation, Warteliste und Kampagnen vorgesehen. Ob eine Nachricht tatsächlich versandt wird, hängt vom jeweiligen Vorgang, der Konfiguration und den Freigaben ab. Dabei können insbesondere verarbeitet werden: - E-Mail-Adresse - Name - Inhalte der jeweiligen Nachricht - Versand- und Zustellinformationen - interne Versandprotokolle Der Versanddienst erhält Empfängeradresse und Nachrichteninhalt, gegebenenfalls einschließlich Name, Termin, Leistung, Anschrift und weiterer in der Nachricht enthaltener Angaben. Der Versandpfad speichert außerdem Empfänger, Betreff, Nachrichteninhalt und Versandstatus in Supabase. Dies sind zusätzliche gespeicherte Kopien der Kommunikation. Betreiberangabe erforderlich: Rechtsgrundlage, Empfängerkreis und Löschfristen sind je Nachrichtenart festzulegen. Für Werbung sind außerdem die Voraussetzungen des § 7 UWG zu prüfen; eine erforderliche Einwilligung darf nicht aus der bloßen Nutzung der Anwendung abgeleitet werden. 6. Hosting und technische Infrastruktur Für Hosting, technische Bereitstellung und Auslieferung der Website nutzen wir externe Dienstleister. Dabei können technische Zugriffsdaten verarbeitet werden, insbesondere IP-Adresse, Browserinformationen, Logdaten und ähnliche Verbindungsdaten. Diese Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in dem sicheren, performanten und zuverlässigen Betrieb unserer Website. 7. Eingesetzte Dienstleister 7.1 Vercel Wir nutzen Vercel als Hosting- und Deployment-Dienstleister für die Bereitstellung unserer Website. Im Rahmen der Nutzung können technische Zugriffsdaten und Server-Logdaten verarbeitet werden. 7.2 Supabase Supabase ist für Authentifizierung, Datenbank, serverseitige Funktionen und Dateispeicherung eingebunden. Hier werden insbesondere Konto-, Betriebs-, Kunden-, Buchungs-, Termin-, Berechtigungs-, Kommunikations- und Abonnementdaten sowie Wartelistendaten und Einwilligungsnachweise verarbeitet. Je nach genutzter Funktion kommen Formularantworten, Unterschriftsbilder, Supportanhänge, Kalenderverbindungen und technische Protokolle hinzu. 7.3 Resend Resend ist für den E-Mail-Versand eingebunden. Dabei werden Empfängeradressen, Betreff und Nachrichteninhalte an Resend übermittelt. Die in Abschnitt 5 beschriebenen Versandprotokolle werden zusätzlich in Supabase geführt. 7.4 jsDelivr und unpkg Zur Auslieferung technischer Bibliotheken werden je nach Seite jsDelivr und unpkg eingebunden. Beim Abruf erhält der jeweilige CDN-Dienst technische Verbindungsdaten, insbesondere die IP-Adresse und Browserinformationen sowie gegebenenfalls einen Referrer. 7.5 Google Fonts Google Fonts ist auf diesen Rechteseiten und weiteren Seiten extern eingebunden. Beim Abruf werden technische Zugriffsdaten, insbesondere die IP-Adresse, an Google übermittelt. Diese Einbindung erfolgt bereits beim Seitenaufruf; der Analyse- oder Marketing-Schalter steuert sie nicht. 7.6 Stripe Stripe ist für Abonnementabschluss, Zahlungsabwicklung und das Abrechnungsportal angebunden. Der Server übermittelt dafür insbesondere E-Mail-Adresse, Name, gegebenenfalls Telefonnummer, eine Benutzerkennung sowie Tarif- und Abonnementdaten. Zahlungsangaben werden über die Stripe-Oberfläche erhoben. Stripe meldet Zahlungs- und Abonnementereignisse an MobileBooking zurück; Stripe-Kunden- und Abonnementkennungen sowie Statusdaten werden in Supabase gespeichert. Daraus folgt keine Aussage über eine aktuelle Zahlungsfreischaltung oder konkrete Vertragskonditionen. Der angemeldete Kündigungsablauf übermittelt die Benutzerzuordnung sowie einen freiwilligen Kündigungsgrund und gegebenenfalls freiwilligen Freitext an die serverseitige Kündigungsfunktion. Diese prüft die Vertragszuordnung und veranlasst die Kündigung zum Periodenende bei Stripe. Grund, Feedback und Vorgangsdaten können in Supabase gespeichert werden. Eine Begründung ist für die ordentliche Kündigung keine Pflichtangabe. Unter /vertrag ist zusätzlich eine öffentliche Erklärung für Kündigung und Widerruf vorgesehen. Dabei werden Name, elektronische Kontaktadresse, Vertragszuordnung, Erklärung und gewünschter Zeitpunkt verarbeitet. Die Erklärung wird mit Eingangszeitpunkt und einer herunterladbaren Bestätigung gespeichert; Vertragsprüfung und tatsächliche Vertragsbeendigung erfolgen getrennt. Der elektronische Bestätigungsversand benötigt eine eigene Freigabe und wird hier nicht als bereits aktiv behauptet. Offene Betreiberangaben: Empfänger, Rechtsgrundlagen, Bearbeitungsprozess sowie Aufbewahrungs- und Löschkriterien müssen für den tatsächlichen Betrieb bestätigt werden. Dies gilt auch für Nachweise zum vorzeitigen Leistungsbeginn und übermittelte Vertragsfassungen. Eine juristische Abnahme wird nicht behauptet. 7.7 Karten, Adresssuche und Fahrzeiten Die überarbeiteten Adress- und Ortsabfragen verwenden Mapbox über eine serverseitige Schnittstelle. Angefragte Adressen beziehungsweise Ortsangaben werden dafür an Mapbox übermittelt. Die temporären Geocoding-Ergebnisse dienen der aktuellen Anzeige und werden aus diesem Ablauf nicht dauerhaft als Kunden- oder Marktplatzkoordinaten gespeichert. Mapbox erhält bei Kartendarstellung angefragte Kartenausschnitte und bei Routenberechnung Start-, Ziel- und gegebenenfalls Zwischenkoordinaten. Routenabfragen können aus dem Browser und serverseitig erfolgen; der serverseitige Fahrzeitnachweis verwendet einen getrennten, betriebsgebundenen Cache. Davon getrennt fordert die serverseitige Buchungsprüfung für einen verlässlichen Adressnachweis bei Mapbox zur Speicherung bestimmte Geocoding-Ergebnisse an. Der Nachweis speichert betriebsgebundene Adress-Prüfsummen, Koordinaten, Anbieterkennung, Genauigkeit sowie Prüf- und Ablaufzeit; eine zusätzliche Klartextkopie der angefragten Adresse oder die vollständige Anbieterantwort wird in diesem Nachweisspeicher nicht abgelegt. Die Nachweise sind spätestens nach 24 Stunden nicht mehr für eine Buchungsprüfung verwendbar. Für abgelaufene Nachweise ist eine Löschroutine implementiert; deren regelmäßige Ausführung ist im tatsächlichen Betrieb zu überwachen. Prüfsummen und Koordinaten sind nicht allein dadurch anonym. Die Speicheroption des Anbieters bedeutet keine unbefristete Speicherung in MobileBooking. Die zuvor verwendeten öffentlichen Nominatim-Abfragen und der zugehörige automatische Backfill sind in den überarbeiteten Abläufen unterbunden. Damit wird keine Löschung historischer Koordinaten oder alter Caches behauptet. Offene Betreiberpunkte sind insbesondere die vertragliche Einordnung von Mapbox, zulässige Speicherung von Ergebnissen, Löschkriterien und die Freigabe des tatsächlichen produktiven Datenflusses. 7.8 Google Calendar und Apple iCloud Bei gesondert freigeschalteter und verbundener Kalendersynchronisation werden Termine mit dem gewählten Google- oder Apple-Kalender ausgetauscht. Der überarbeitete automatische Export enthält einen neutralen Termintitel, eine technische Zuordnung sowie Beginn und Ende, jedoch keine Kundennamen, Kontaktdaten, Leistungen, Adressen oder Freitextnotizen. Unbekannte externe Ereignisse können als private Zeitblockaden übernommen werden; eine automatische Kundenanlage aus solchen Ereignissen ist nicht freigegeben. Kalenderverknüpfungen, Konflikte und Synchronisationsprotokolle werden in Supabase verarbeitet. Zugangsdaten für die Verbindung werden serverseitig verwaltet. Bereits früher exportierte Inhalte werden dadurch nicht automatisch aus externen Kalendern gelöscht. Daneben gibt es manuelle Kalenderexporte: Ein Google-Kalenderlink kann Termindetails in der aufgerufenen URL enthalten; eine ICS-Datei speichert sie auf dem Gerät und übermittelt sie beim Import an die gewählte Kalenderanwendung. Empfänger und Freigaben eines externen Kalenders bestimmt auch dessen Kontoinhaber. 7.9 WhatsApp / Meta Bei eingerichteter WhatsApp-Anbindung können Telefonnummern und Nachrichteninhalte für Einzelkommunikation, Benachrichtigungen und Kampagnen an die WhatsApp Cloud API von Meta übertragen werden. Eingehende Nachrichten und Zustellinformationen werden über die Integration verarbeitet und in MobileBooking gespeichert. Die Einrichtung des Kanals ersetzt keine erforderliche Einwilligung in Werbung. 7.10 Support und Anthropic Supportanfragen, Nachrichten und hochgeladene Anhänge werden in Supabase verarbeitet. Wird die KI-Ticketanalyse durch berechtigte Mitarbeitende aufgerufen und ist sie konfiguriert, übermittelt der Server Tickettitel, Status, vorhandene Priorität und Kategorie sowie bis zu 20 Nachrichten mit Autorenrolle und Zeitangabe an Anthropic. Personenbezogene Angaben innerhalb dieser Texte werden dabei nicht automatisch ausgeschlossen. Die Analyse unterstützt die Supportbearbeitung. Eine vertragliche Zusicherung über Trainingsnutzung oder Speicherdauer bei Anthropic wird hier nicht getroffen. 7.11 Fehlerdiagnose und Missbrauchsschutz Sentry ist über Browser-Skripte zur Fehlerdiagnose eingebunden. Ein zusätzlich konfigurierbarer serverseitiger Meldepfad übermittelt Fehlertyp, Fehlermeldung, Zeit und Funktionskennzeichnung. Fehlertexte können personenbezogene Inhalte enthalten; der Umfang weiterer Browser-Erfassung und die Löschfristen müssen anhand der tatsächlich verwendeten Sentry-Konfiguration bestätigt werden. Öffentliche Buchungen verwenden technische Missbrauchsprüfungen und Protokolle mit gehashten Kennungen. Bei Verwendung von Cloudflare Turnstile wird ein Prüf-Token und gegebenenfalls die IP-Adresse an Cloudflare übermittelt. Gehashte Kennungen sind nicht allein dadurch anonym. 7.12 Weitere betriebliche Integrationen Bei eingerichteter API-Anbindung können berechtigte externe Anwendungen Betriebs-, Kunden-, Termin- und Buchungsdaten abrufen. Für über die API angelegte Kunden ist ein Versand an vom Betrieb konfigurierte Webhook-Empfänger vorgesehen. Der Betrieb muss die tatsächlichen Empfänger und Zwecke benennen. Weitere gesonderte Funktionen enthalten Anbindungen an Google Places für die Suche nach Betriebsprofilen und Bewertungen, an fiskaly für Kassenvorgänge sowie an Tankerkönig für Tankstellenabfragen anhand von Koordinaten. Ihre Erwähnung bestätigt weder eine Freischaltung noch einen produktiven Einsatz. Betreiberangabe erforderlich: Tatsächlich genutzte Funktionen, Datenumfang und Empfänger sind vor deren Einsatz konkret zu dokumentieren. 8. Cookies und Einwilligungsmanagement Die Cookie-Einstellungen steuern die eingebundenen Analyse- und Marketing-Skripte. Sie sind kein allgemeiner Schalter für sämtliche externen Dienste: beispielsweise Google Fonts und Bibliotheks-CDNs werden über direkte Seiteneinbindungen geladen; betriebliche Integrationen haben eigene Aufrufpfade. Offener Umsetzungspunkt: Eine geänderte Auswahl wird gespeichert und bei den anwendungseigenen Tracking-Aufrufen berücksichtigt. Bereits geladene Drittanbieterskripte werden durch das Ablehnen jedoch nicht entladen. Die wirksame Beendigung weiterer Verarbeitung nach einem Widerruf muss auch für diese Skripte technisch sichergestellt und geprüft werden; ein vollständig wirksamer Widerruf ist durch den vorliegenden Quellcode allein nicht nachgewiesen. Im Rahmen dieses Einwilligungsmanagements speichern wir deine Auswahl lokal auf deinem Gerät, um deine Präferenzen zu berücksichtigen. Dabei können insbesondere folgende Informationen gespeichert werden: - gewählte Cookie- und Tracking-Präferenzen - Zeitstempel der Auswahl - Versionsinformationen der Einwilligungseinstellungen Neben dieser Auswahl werden Anmeldesitzungen und Einstellungen auf dem Gerät gespeichert. Die Anwendung enthält zudem einen eingeschränkten lokalen Offline-Speicher für berechtigte Inhaber: Termine des aktuellen Tages, die zugehörigen Kontakt- und Adressdaten sowie reduzierte lokale Entwürfe. Die technische Zugriffsberechtigung läuft spätestens nach 24 Stunden und gegebenenfalls früher mit der Sitzung ab. Dies ist keine allgemeine Löschfrist für sämtliche Gerätedaten, Serverdaten oder Backups; die Bereinigung hängt auch von ausgeführtem Anwendungscode ab. Heruntergeladene Exporte bleiben unabhängig davon auf dem Gerät. Für das Speichern oder Auslesen von Informationen auf dem Endgerät ist § 25 TDDDG gesondert zu beachten. Eine Ausnahme von der Einwilligungspflicht kommt insbesondere nur bei unbedingter Erforderlichkeit für einen ausdrücklich gewünschten Dienst nach § 25 Abs. 2 Nr. 2 TDDDG in Betracht. Die datenschutzrechtliche Grundlage für eine anschließende Verarbeitung personenbezogener Daten ist zusätzlich zu bestimmen. Art. 6 Abs. 1 lit. f DSGVO ersetzt keine erforderliche Endgeräte-Einwilligung. 9. Analyse Sofern du eingewilligt hast, nutzen wir Analyse-Dienste, um die Nutzung unserer Website besser zu verstehen und unser Angebot zu verbessern. Dafür sind folgende Dienste technisch vorbereitet; geladen werden sie bei hinterlegter Dienstkonfiguration und entsprechender Auswahl in den Cookie-Einstellungen: - Plausible Analytics - Google Analytics 4 Verarbeitet werden dabei je nach Dienst insbesondere: - Seitenaufrufe - Interaktionen - Ereignisse - technische Geräte- und Browserinformationen - gekürzte oder anonymisierte IP-bezogene Informationen, soweit vom jeweiligen Dienst vorgesehen Die Verarbeitung erfolgt ausschließlich auf Grundlage deiner Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO. 10. Marketing und Conversion-Messung Sofern du eingewilligt hast, nutzen wir Marketing- und Conversion-Technologien, um die Wirksamkeit unserer Kampagnen zu messen und Werbemaßnahmen zu optimieren. Dazu können insbesondere folgende Dienste eingesetzt werden: - Meta Pixel - TikTok Pixel - Google Ads / Google Ads Conversion Tracking Je nach Dienst können dabei insbesondere verarbeitet werden: - Seitenaufrufe - Ereignisse und Conversions - Kampagnen- und Zuordnungsinformationen - technische Geräte- und Browserinformationen - pseudonymisierte oder gehashte Identifikatoren, soweit technisch eingesetzt Die Verarbeitung erfolgt ausschließlich auf Grundlage deiner Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO. 11. Noch zu bestätigende Rechtsgrundlagen und Pflichtangaben Betreiberangabe erforderlich: Für jede Verarbeitung in dieser Prüffassung sind die tatsächlich einschlägige Rechtsgrundlage und gegebenenfalls die verfolgten berechtigten Interessen zu bestätigen. Dies betrifft insbesondere Konten und Verträge, Kunden- und Beschäftigtendaten, Buchungen, Zahlungen, E-Mail-Protokolle, Karten und Geocoding, Kalender, WhatsApp, Support/KI und Fehlerdiagnose. Die im bisherigen Text für Websitebetrieb und einwilligungsabhängige Analyse genannten Grundlagen sind damit nicht pauschal auf diese zusätzlichen Zwecke übertragbar. Zu ergänzen sind außerdem die jeweils erforderlichen Angaben zur Pflicht oder Freiwilligkeit der Datenbereitstellung und zu den Folgen einer Nichtbereitstellung. Bei vom Betrieb, Teammitgliedern oder anderen Quellen erfassten Daten sind die Informationspflichten nach Art. 14 DSGVO zu berücksichtigen. Für automatische Buchungs- und Missbrauchsentscheidungen ist zu klären, ob Art. 22 DSGVO anwendbar ist und welche Informationen und Schutzmaßnahmen dann erforderlich sind. Aus dem Quellcode wird hierzu keine rechtliche Freigabe abgeleitet. 12. Speicherdauer Die Speicherdauer muss sich nach dem jeweiligen Verarbeitungszweck und bestehenden gesetzlichen Aufbewahrungspflichten richten. Die konkreten betrieblichen Fristen und Löschverfahren sind noch zu bestätigen. Für Wartelisten- und Early-Access-Daten sind insbesondere die Bearbeitung der Anfrage, die Dauer des jeweiligen Programms und eine wirksame Einwilligung in weitere Kommunikation zu berücksichtigen. Betreiberangabe erforderlich: Festlegen, wann diese Zwecke enden und wie Löschung oder Anonymisierung tatsächlich umgesetzt werden. Eine automatische Löschung wird durch diese Prüffassung nicht bestätigt. Einwilligungsnachweise und technisch erforderliche Nachweise können länger gespeichert werden, soweit dies zur Erfüllung rechtlicher Verpflichtungen oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist. Betreiberangabe erforderlich: Konkrete Fristen oder nachvollziehbare Kriterien und deren Umsetzung fehlen insbesondere für Konto- und Vertragsdaten, Kunden und Termine, Team-, Zeit-, Standort- und Lohnlaufdaten einschließlich Prüfnachweisen, Formulare und Signaturen, Zahlungs- und Rechnungsdaten, vollständige E-Mail-Protokolle, Supporttickets und Anhänge, Kalenderkopien, Routen- und Geocoding-Caches, Sicherheitsprotokolle und Backups. Das Ende eines Abonnements oder eine Kündigung ist nicht ohne Weiteres mit einer sofortigen Löschung sämtlicher Daten gleichzusetzen. Technische Cache-Gültigkeiten oder die Laufzeit eines Downloadlinks belegen keine Datenlöschung. 13. Empfänger und Auftragsverarbeiter Die in Abschnitt 7 beschriebenen Dienste sind technische Empfänger. Ob sie im konkreten Verhältnis als Auftragsverarbeiter, eigenständig oder gemeinsam Verantwortliche handeln, ist anhand der tatsächlich vereinbarten Leistungen festzulegen. Ein bestehender Auftragsverarbeitungsvertrag wird durch diese Aufzählung nicht nachgewiesen. Zu den eingesetzten Kategorien von Empfängern können insbesondere gehören: - Hosting- und Infrastruktur-Dienstleister - Datenbank- und Backend-Dienstleister - E-Mail-Versanddienstleister - Analyse- und Marketingdienstleister - CDN- und technische Integrationsdienstleister Betreiberangabe erforderlich: Vollständige Vertragspartner und Rollen, tatsächliche Verarbeitungsorte, Unterauftragnehmer, erforderliche AV-Verträge und deren Abschlussnachweise sind zu bestätigen. Für Übermittlungen außerhalb des EWR sind das betreffende Land und die tatsächlich einschlägige Grundlage nach Kapitel V DSGVO sowie gegebenenfalls die Möglichkeit zum Erhalt einer Kopie der Garantien anzugeben. Ein EU-Hostingstandort schließt Zugriffe oder Weiterverarbeitungen in Drittländern nicht automatisch aus. Weder eine Zertifizierung noch Standardvertragsklauseln oder eine andere Transfergrundlage werden ohne Nachweis als vereinbart behauptet. 14. Betroffenenrechte Du hast im Rahmen der gesetzlichen Voraussetzungen insbesondere folgende Rechte: - Recht auf Auskunft gemäß Art. 15 DSGVO - Recht auf Berichtigung gemäß Art. 16 DSGVO - Recht auf Löschung gemäß Art. 17 DSGVO - Recht auf Einschränkung der Verarbeitung gemäß Art. 18 DSGVO - Recht auf Datenübertragbarkeit gemäß Art. 20 DSGVO - Recht auf Widerspruch gemäß Art. 21 DSGVO - Recht auf Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft Zur Ausübung deiner Rechte genügt eine formlose Mitteilung an die oben genannte Kontaktadresse. Wenn es um die Kunden- oder Behandlungsdaten eines gebuchten Betriebs geht, wende dich auch an diesen Betrieb; die konkrete Zuständigkeit richtet sich nach der jeweiligen Verarbeitung. Bei Direktwerbung kannst du jederzeit widersprechen. Bei Verarbeitung aufgrund berechtigter Interessen besteht das Widerspruchsrecht aus Gründen deiner besonderen Situation nach Art. 21 DSGVO. 15. Beschwerderecht bei einer Aufsichtsbehörde Du hast außerdem das Recht, dich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung deiner personenbezogenen Daten zu beschweren. Für Stellen in Niedersachsen ist insbesondere der Landesbeauftragte für den Datenschutz Niedersachsen eine Anlaufstelle. Informationen und Beschwerdeformular: https://www.lfd.niedersachsen.de/beschwerde. Das Recht, dich insbesondere an eine Aufsichtsbehörde an deinem Aufenthaltsort, Arbeitsplatz oder dem Ort des mutmaßlichen Verstoßes zu wenden, bleibt bestehen. 16. Änderungen dieser Datenschutzerklärung Die Datenschutzhinweise sind bei Änderungen der tatsächlichen Verarbeitung zu aktualisieren. Eine Textänderung ersetzt weder erforderliche Informationen vor einer neuen Verarbeitung noch eine gegebenenfalls notwendige Einwilligung. Prüfgrundlagen (abgerufen am 27.09.2026): DSGVO, insbesondere Art. 9, 13, 14, 21, 22, 28 und Kapitel V; § 25 TDDDG; § 7 UWG. Offizielle Quellen sind unterhalb dieses Textes verlinkt. Die offenen Betreiberangaben sind Bestandteil dieser Prüffassung; sie bedeuten, dass noch keine vollständige rechtliche oder anwaltliche Freigabe vorliegt.
Ergänzende Prüfquelle zur Beschäftigtendatenverarbeitung (abgerufen am 16.10.2026): § 26 BDSG; ergänzend Art. 88 DSGVO im unten verlinkten amtlichen Text.
Prüfquellen: DSGVO (amtlicher Text bei der Datenschutzstelle), § 25 TDDDG, § 7 UWG, Nominatim-Nutzungsrichtlinie, § 312k BGB, § 356a BGB.