Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und anderer nationaler Datenschutzgesetze ist:

Agenivo GmbH
Maria-Montessori-Allee 10
63457 Hanau
Deutschland
Vertreten durch die Geschäftsführer Tomas Möller und Robin Mai
E-Mail: datenschutz@agenivo.com
Telefon: +49 6181 99106 50

2. Allgemeines zur Datenverarbeitung

Wir verarbeiten personenbezogene Daten unserer Nutzer grundsätzlich nur, soweit dies zur Bereitstellung einer funktionsfähigen Anwendung sowie unserer Inhalte und Leistungen erforderlich ist. Die Verarbeitung erfolgt regelmäßig auf Grundlage einer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), zur Erfüllung eines Vertrags (Art. 6 Abs. 1 lit. b DSGVO) oder auf Basis berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO).

3. Bereitstellung der Anwendung und Server-Logfiles

Beim Aufrufen unserer Anwendung erhebt unser Hosting-Anbieter automatisch Informationen, die Ihr Browser an den Server übermittelt. Hierzu zählen insbesondere:

• IP-Adresse des anfragenden Geräts
• Datum und Uhrzeit der Anfrage
• Aufgerufene Ressource (URL)
• Übertragene Datenmenge
• Referrer-URL
• Browsertyp, Sprache und Version
• Betriebssystem

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht in der Sicherstellung des stabilen und sicheren Betriebs unserer Anwendung. Die Daten werden gelöscht, sobald sie für die Zwecke ihrer Erhebung nicht mehr erforderlich sind, sofern sie nicht zur Aufklärung von Sicherheitsvorfällen weiter benötigt werden.

4. Hosting

Daternus wird bei Google Cloud (Google Cloud EMEA Limited, 70 Sir John Rogerson's Quay, Dublin 2, Irland) betrieben — ausschließlich in der Region europe-west3 (Frankfurt am Main). Anwendung, Datenbank und Dateiablage liegen dort; eine Übermittlung in Drittländer findet nicht statt.

Mit dem Anbieter besteht ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO. Datenbank und Dateiablage sind zusätzlich mit einem von uns verwalteten Schlüssel verschlüsselt (Cloud KMS, CMEK) — nicht mit dem Standardschlüssel des Anbieters.

5. Anmeldung und Studiokonto

Die Anmeldung an Daternus erfolgt über ein eigenes Konto mit E-Mail und Passwort. Wir setzen bewusst keinen externen Identitätsanbieter ein — kein „Anmelden mit Google“, kein „Anmelden mit Apple“. Dadurch erfährt kein Dritter, welches Studio Daternus wann nutzt.

Verarbeitet werden: Studioname und Anschrift, Name und E-Mail-Adresse der Konten, Rolle und Modulzuweisung sowie der Abo-Status. Passwörter werden ausschließlich als Hash gespeichert (scrypt) und sind für uns nicht lesbar. Die Sitzung läuft über ein von uns ausgestelltes Token, das im Browser bzw. im geschützten Schlüsselbund des Geräts abgelegt wird; es dient keiner Wiedererkennung über Websites hinweg.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Beim Abschluss eines Abonnements über den Apple App Store verarbeitet Apple (Apple Distribution International Ltd., Irland) die Zahlungsdaten. Wir erhalten von Apple lediglich die Bestätigung, welches Produkt für welchen Zeitraum erworben wurde — keine Zahlungsmittel und keine Apple-ID.

6. Cookies und Session-Speicherung

Daternus setzt technisch notwendige Cookies ein, um Ihre Anmeldesitzung aufrechtzuerhalten. Diese Cookies werden ausschließlich auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO sowie § 25 Abs. 2 TTDSG verarbeitet, da sie für den Betrieb der Anwendung unbedingt erforderlich sind. Tracking- oder Marketing-Cookies setzen wir nicht ein.

7. Daten Ihrer Kundinnen und Kunden (Art. 9 DSGVO)

Daternus dient der Dokumentation von Anamnese, Aufklärung und Einwilligung in Kosmetik- und Tattoostudios. Die dabei erfassten Angaben — Medikamente, Erkrankungen, Allergien, Schwangerschaft — sind Gesundheitsdaten im Sinne von Art. 9 DSGVO und damit eine besondere Kategorie personenbezogener Daten.

Für diese Daten ist das Studio der Verantwortliche, nicht wir. Das Studio entscheidet, welche Daten es erhebt und wie lange es sie aufbewahrt. Wir verarbeiten sie ausschließlich weisungsgebunden als Auftragsverarbeiter auf Grundlage eines Vertrags nach Art. 28 DSGVO, den jedes Studio beim Einrichten schließt. Wir nutzen sie nicht für eigene Zwecke, geben sie nicht weiter und werten sie nicht aus.

Die Verarbeitung stützt sich im Verantwortungsbereich des Studios regelmäßig auf die ausdrückliche Einwilligung der betroffenen Person nach Art. 9 Abs. 2 lit. a DSGVO — genau die Einwilligung, die Daternus erhebt und dokumentiert.

Technisch werden die Antworten der Bögen feldweise einzeln verschlüsselt gespeichert (Cloud KMS). Wer die Datenbank läse, sähe, dass ein Bogen existiert — nicht, was darin steht. Jeder Datensatz trägt zudem die Kennung seines Studios, und jede Abfrage filtert darauf; ein Schreibvorgang ohne diese Kennung schlägt fehl.

Auch die Plattformverwaltung hat keinen Einblick in diese Daten. Sie kann Studios anlegen und sperren; wird für eine Störung Einsicht gebraucht, ist sie kurzlebig, rein lesend und wird protokolliert.

Anfragen auf Auskunft oder Löschung richten betroffene Personen an ihr Studio. Wir unterstützen das Studio dabei mit Export- und Löschfunktionen. Weitere Einzelheiten zur Technik stehen unter daternus.de/sicherheit.

8. Empfänger und Auftragsverarbeiter

Eine Übermittlung an Dritte erfolgt nur, wenn dies zur Vertragserfüllung erforderlich oder gesetzlich vorgeschrieben ist. Die Liste unserer Empfänger ist kurz und vollständig:

• Google Cloud EMEA Limited, Dublin — Betrieb von Anwendung, Datenbank und Dateiablage in Frankfurt am Main. Auftragsverarbeiter nach Art. 28 DSGVO.
• Apple Distribution International Ltd., Cork — Abwicklung der Abonnements im App Store. Apple handelt insoweit als eigener Verantwortlicher; wir erhalten von dort nur die Kaufbestätigung.

Wir setzen keine Analyse-, Werbe- oder Tracking-Dienste ein, kein externes Fehler-Monitoring und keinen externen Identitätsanbieter. Daten Ihrer Kundinnen und Kunden geben wir an niemanden weiter (siehe Abschnitt 7).

9. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie dies für die Erbringung unserer Leistungen erforderlich ist oder gesetzliche Aufbewahrungspflichten dies vorsehen (z. B. aus dem HGB oder der AO). Nach Wegfall des Zwecks werden die Daten gelöscht oder anonymisiert.

Die Dokumentation der Kundinnen und Kunden eines Studios läuft standardmäßig zehn Jahre nach ihrer Erstellung automatisch ab — die übliche Frist, in der eine Dokumentation im Streitfall noch gebraucht wird. Eine frühere Löschung auf Wunsch der betroffenen Person ist jederzeit möglich und wird protokolliert. Abweichende Festlegungen trifft das Studio als Verantwortlicher.

10. Ihre Rechte als betroffene Person

Sie haben uns gegenüber folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Recht auf Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Recht auf Widerruf einer erteilten Einwilligung (Art. 7 Abs. 3 DSGVO)

Zur Ausübung dieser Rechte genügt eine formlose Mitteilung an die oben genannte E-Mail-Adresse.

11. Beschwerderecht bei der Aufsichtsbehörde

Sie haben gemäß Art. 77 DSGVO das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen die DSGVO verstößt. Zuständig ist die Aufsichtsbehörde des Bundeslandes, in dem unser Unternehmen seinen Sitz hat:
Der Hessische Beauftragte für Datenschutz und Informationsfreiheit
Postfach 3163, 65021 Wiesbaden
datenschutz.hessen.de

12. Datensicherheit

Wir verwenden innerhalb der Anwendung das verbreitete SSL-/TLS-Verfahren in Verbindung mit der jeweils höchsten Verschlüsselungsstufe, die von Ihrem Browser unterstützt wird. Zur Sicherung Ihrer Daten setzen wir technische und organisatorische Maßnahmen ein, die dem Stand der Technik entsprechen: Verschlüsselung ruhender Daten mit einem von uns verwalteten Schlüssel, feldweise Verschlüsselung der Gesundheitsangaben, strikte Trennung der Studios auf Datenbankebene und ein Protokoll über jeden lesenden und schreibenden Zugriff. Was das im Einzelnen bedeutet, steht unter daternus.de/sicherheit.

13. Aktualität dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht oder um Änderungen unserer Leistungen in der Datenschutzerklärung umzusetzen. Für Ihren erneuten Besuch gilt dann die neue Datenschutzerklärung.