Datenschutzerklärung

Diese Datenschutzerklärung erläutert, wie Glamorph ("wir") personenbezogene Daten erhebt, verwendet, weitergibt und schützt, wenn du unsere mobilen Apps, die Web-App, öffentliche Buchungsseiten, Websites und zugehörige Dienste (zusammen der "Service") nutzt. Glamorph hat seinen Sitz in Griechenland und verarbeitet Daten nach der DSGVO und dem anwendbaren Datenschutzrecht.

Wichtige Punkte

• Wir erheben nur Daten, die für unsere Dienste notwendig sind
• Deine Fotos, Medien und Inhalte bleiben dein Eigentum
• Wir verkaufen deine personenbezogenen Daten niemals an Dritte
• Eine Kontolöschung beginnt mit einer 30-tägigen, widerrufbaren Frist. Daten gemeinsamer Arbeitsbereiche und gesetzlich aufzubewahrende Datensätze können bestehen bleiben
• Alle Daten werden bei der Übertragung mit TLS 1.2+ verschlüsselt
• Wir verwenden datenschutzfreundliche Analysen (PostHog, Sentry) mit Datenhosting in der EU. Auf unserer Website laden Analysen nur mit deiner Zustimmung. In unserer mobilen App kannst du sie in den Einstellungen deaktivieren.

Informationen, die wir erheben

Wir erheben die folgenden Kategorien von Informationen, wenn du unseren Service nutzt:

• Konto und Anmeldung: Name, E-Mail-Adresse, Profilbild, Kontokennungen, Anmeldeart sowie Sitzungs- und Sicherheitsprotokolle. Bei der Anmeldung mit Apple oder Google erhalten wir die freigegebenen Profildaten, aber niemals das Passwort dieses Anbieters.
• Berufliches Profil: Beim Onboarding gibst du deinen Beruf (z. B. Makeup Artist, Hairstylist), dein Erfahrungslevel, geschäftliche Herausforderungen, Empfehlungsquelle, bevorzugte Sprache, Zeitzone und Währung an.
• Medieninhalte: Fotos und Videos, die du für Kundentermine, Portfolios und Alben hochlädst. Mediendateien werden in Cloud-Objektspeicher mit eingeschränktem Zugriff gespeichert.
• Kundendaten: Namen, Kontaktdaten, Notizen und Terminverlauf deiner Kunden. Du bist dafür verantwortlich, vor dem Speichern personenbezogener Daten deiner Kunden die passende Einwilligung einzuholen.
• Buchungen und Kommunikation: Kontaktdaten, ausgewählte Leistung, Fachkraft und Uhrzeit, Verifizierung, Buchungsstatus, Umbuchungen, Stornierungen, Erinnerungen und Kalenderexporte.
• Dokumente, Medien und Workspaces: Beratungs- oder Einwilligungsformulare, Antworten, Unterschriften, fertige PDFs, Fotos, Videos, teilbare Galerien, Mitglieder, Rollen, Berechtigungen, Arbeitszeiten, Abwesenheiten und Kalender.
• Finanz- und Händlerzahlungsdaten: Beträge, Zahlungsarten, Ausgaben, Zahlungs- und Erstattungsstatus, Händlerland sowie Konto-, Standort-, Leser- oder Terminalkennungen. Stripe, SumUp oder Square verarbeiten die Zahlungsdaten. Glamorph speichert keine vollständigen Kartennummern, CVCs, PINs oder Bankzugangsdaten der Kunden.
• Geräteinformationen: Gerätemodell, Betriebssystem, App-Version, Push-Benachrichtigungstoken und IP-Adresse (in Sitzungsprotokollen erfasst). Wir erheben keine Werbe-IDs (IDFA/GAID).
• Abonnementdaten: gewählter Plan und Kapazität, Zugangs- und Teststatus, Abrechnungszeitraum, Store- oder Web-Abrechnung sowie Kauf- und Verlängerungsstatus. RevenueCat verwaltet Berechtigungen über die unterstützten Abrechnungskanäle.
• Benachrichtigungseinstellungen: Deine Einstellungen für Push-Benachrichtigungen und E-Mail-Kommunikation sowie Gerätetokens zum Zustellen von Benachrichtigungen.

Wie wir deine Informationen verwenden

Wir verwenden deine Informationen für die folgenden Zwecke:

• Den Service zur Kundenverwaltung bereitstellen, betreiben und warten
• Deine Identität authentifizieren und dein Konto schützen
• Deine Daten zwischen deinen Geräten synchronisieren (lokale Daten mit Cloud-Backup)
• Abonnementkäufe über den App Store / Google Play verarbeiten und prüfen
• Push-Benachrichtigungen für Terminerinnerungen, Zahlungshinweise und Konto-Updates senden
• Transaktionale E-Mails senden (Willkommen, Testzeitraumstatus, Abonnementänderungen, Kontosicherheit)
• Marketing-E-Mails zu Produktupdates senden (nur mit deiner Zustimmung, jederzeit abbestellbar)
• Cloud-Speicherkontingente und die Auslieferung von Mediendateien verwalten
• Auf deine Supportanfragen und Nachrichten antworten
• Betrug, Missbrauch oder Sicherheitsvorfälle erkennen und verhindern

Rechtsgrundlage der Verarbeitung (DSGVO)

Nach der DSGVO verarbeiten wir deine personenbezogenen Daten auf den folgenden Rechtsgrundlagen:

• Erfüllung eines Vertrags: Verarbeitung, die notwendig ist, um den Service bereitzustellen, für den du dich angemeldet hast (Kontoverwaltung, Datensynchronisierung, Medienspeicherung, Abonnementverwaltung).
• Einwilligung: Marketing-E-Mails, Push-Benachrichtigungen und optionale Onboarding-Daten. Du kannst deine Einwilligung jederzeit über die App-Einstellungen oder Abmeldelinks in E-Mails widerrufen.
• Berechtigtes Interesse: Serviceverbesserung, Betrugsprävention, Sicherheit und Analysen in unserer mobilen App (pseudonyme Nutzungsdaten mit verfügbarer Opt-out-Möglichkeit). Wir wägen unsere Interessen gegen deine Rechte und Freiheiten ab.
• Rechtliche Verpflichtung: Aufbewahrung von Transaktions- und Zahlungsunterlagen, wie es Steuer- und Finanzvorschriften verlangen.

Drittanbieter

Wir teilen Daten mit den folgenden Drittanbietern, ausschließlich um unseren Service zu betreiben. Jeder Anbieter verarbeitet Daten nach seiner eigenen Datenschutzerklärung und seinen Datenverarbeitungsverträgen:

• Apple Sign-In / Google Sign-In: Nur Authentifizierung. Wir erhalten deinen Namen, deine E-Mail-Adresse und dein Profilfoto. Wir greifen niemals auf dein Apple/Google-Passwort oder nicht zugehörige Kontodaten zu.
• RevenueCat: Verwaltung von Abonnements und In-App-Käufen. Erhält deine anonymisierte Benutzer-ID und Kaufdaten. Datenschutzerklärung
• Stripe: Optionales Händler-Onboarding und Zahlungsabwicklung für Profis, die Online-Zahlungen oder unterstützte Zahlungen vor Ort aktivieren. Stripe erhält Händler-Verifizierungsdaten, Zahlungsdaten der Kunden, Transaktionsdaten und Informationen zur Betrugsprävention. Glamorph erhält Zahlungsstatus und betriebliche Kennungen, jedoch keine vollständigen Kartennummern, CVCs, PINs oder Online-Banking-Zugangsdaten. Datenschutzerklärung
• Cloudflare (R2 Storage & CDN): Hostet deine Mediendateien (Fotos/Videos) mit verschlüsseltem Objektspeicher. Dateien sind nur über temporäre signierte URLs zugänglich. Datenschutzerklärung
• SumUp: optionale Händlerverbindung, Checkout, Kartenleser und Zahlungen. Glamorph tauscht die nötigen Autorisierungs-, Konto-, Transaktions-, Erstattungs- und Gerätedaten aus. Datenschutzerklärung
• Square: optionale Händler-, Standort-, Terminal-, Checkout- und Zahlungsanbindung. Glamorph tauscht die nötigen Betriebsdaten aus. Datenschutzhinweis
• Hetzner: Hosting des Anwendungsservers (EU-Rechenzentrum). Hostet unsere Datenbank und unseren Anwendungscode. Datenschutzerklärung
• Expo (Push Notifications): Stellt Push-Benachrichtigungen an dein Gerät zu. Erhält Gerätetokens und Benachrichtigungsinhalte. Datenschutzerklärung
• Amazon Web Services SES (E-Mail): Sendet Transaktions- und Marketing-E-Mails. Erhält deine E-Mail-Adresse, deinen Namen und die für die Nachricht erforderlichen Inhalte. Datenschutzerklärung
• PostHog (Analytics): Produktanalysen, um zu verstehen, wie die App genutzt wird. Datenhosting in der EU (Frankfurt). Erhält eine pseudonyme Benutzer-ID und Nutzungsereignisse. Auf unserer Website lädt PostHog nur mit deiner Cookie-Zustimmung. In unserer mobilen App kannst du es in den Einstellungen deaktivieren. Datenschutzerklärung
• Sentry (Error Tracking): Absturz- und Fehlerberichte zur Verbesserung der App-Stabilität. Datenhosting in der EU (Deutschland). Erhält Fehlerdetails, Gerätemetadaten und eine pseudonyme Benutzer-ID: keine E-Mail-Adresse und keinen Namen. Datenschutzerklärung
• Google Analytics (Website): Traffic-Analyse nur für unsere Marketing-Website. Lädt nur mit deiner Cookie-Zustimmung. Datenschutzerklärung

Wir verkaufen, vermieten oder handeln deine personenbezogenen Daten nicht an Dritte. Wir teilen deine Daten nicht mit Werbetreibenden. Unsere Drittanbieter werden streng für betriebliche Zwecke eingesetzt.

Optionale Zahlungsanbieter

Dieser Abschnitt gilt, wenn ein berechtigter Beauty-Profi Stripe, SumUp oder Square verbindet, um eine Kundenzahlung anzufordern, anzunehmen oder abzugleichen. Das ist freiwillig und von der Glamorph-Abrechnung getrennt.

Die Abrechnung deines Abos und die Integrationen für Kundenzahlungen dienen unterschiedlichen Zwecken. Anbieter für die Aboabwicklung erhalten die Informationen, die zur Verarbeitung deines Glamorph-Kaufs und zur Prüfung deiner Zugangsberechtigung erforderlich sind. Angebundene Zahlungsdienstleister erhalten die für deine Transaktionen mit Kunden erforderlichen Daten, wie unten beschrieben. Derselbe Anbieter kann je nach Transaktion beide Rollen übernehmen.

• Für jeden verbundenen Anbieter speichert Glamorph Autorisierungs- und Händlerkennungen, Land, Währung, Fähigkeiten und gegebenenfalls Standort, Kartenleser oder Terminal. Verifizierungsunterlagen und Bankdaten, die der Anbieter auf seiner Oberfläche verlangt, werden direkt an ihn übermittelt.
• Glamorph speichert die Kennung deines verbundenen Stripe-Kontos, Land und Währung des Unternehmens, den Onboarding- und Zahlungsfreigabestatus sowie den Status offener Anforderungen, den Stripe zurückgibt. Identitäts- und Bankdaten sowie Nachweisdokumente, die Stripe beim Onboarding anfordert, übermittelst du direkt an Stripe. Glamorph speichert weder die vollständigen Dokumente noch deine Bankzugangsdaten.
• Zum Erstellen und Abgleichen von Zahlungen, Erstattungen oder Streitfällen verarbeiten wir Metadaten wie Betrag, Währung, Status, Zeitstempel, Stripe-Transaktionskennungen, Gebühren und den zugehörigen Kunden-, Termin- oder Workspace-Bezug in Glamorph. E-Mail-Adresse oder Telefonnummer eines Kunden können an Stripe übermittelt werden, wenn sie für Checkout, Belege oder Mitteilungen zum Zahlungsstatus benötigt werden.
• Stripe, seine Finanzpartner und die beteiligten Zahlungsnetzwerke erheben und verarbeiten die Zahlungsdaten des Kunden. Glamorph erhält oder speichert keine vollständigen Kartennummern, CVCs, PINs oder Online-Banking-Zugangsdaten. Stripe kann begrenzte Karteninformationen wie Marke und letzte vier Ziffern für Belege, Support, Betrugsprävention und Transaktionsnachweise zurückgeben.
• Wir nutzen diese Daten für Händler-Onboarding, Zahlungsfreigabe, Statusanzeige, Abgleich, Support, Betrugsprävention sowie Erstattungen und Streitfälle. Glamorph bewahrt seine Daten nach dieser Erklärung und geltendem Recht auf. Stripe verarbeitet und speichert Daten nach eigenen Bedingungen und seiner Datenschutzerklärung und kann sie mit den dort beschriebenen Garantien in Ländern verarbeiten, in denen Stripe, verbundene Unternehmen, Finanzpartner oder Dienstleister tätig sind.

Datenspeicherung & Sicherheit

Unsere wichtigsten Anwendungs- und Datenbankserver werden von Hetzner in der Europäischen Union gehostet. Medien liegen in Cloudflare R2 und sind standardmäßig geschützt. Sie werden über kontrollierte Zugriffe oder über einen Link beziehungsweise eine Galerie ausgeliefert, die eine berechtigte Fachkraft bewusst teilt. Daten werden während der Übertragung verschlüsselt, und Konto-, Rollen-, Datenbank-, Netzwerk- und Verwaltungszugriffe sind beschränkt. Vollständige Sicherheit kann dennoch kein System garantieren.

Datenspeicherung auf dem Gerät

Die mobile Glamorph-App speichert eine lokale Kopie deiner Daten auf deinem Gerät mit SQLite für Offline-Zugriff. Dazu gehören deine Kunden, Termine, Medienreferenzen, Zahlungen und Einstellungen. Authentifizierungstokens und sensible Zugangsdaten werden im sicheren Schlüsselbund deines Geräts (iOS) oder Keystore (Android) gespeichert und auf Betriebssystemebene verschlüsselt. Deine lokalen Daten werden mit unseren Cloud-Servern synchronisiert, wenn du online bist. Wenn du die App deinstallierst, werden lokal zwischengespeicherte Daten von deinem Gerät entfernt.

Aufbewahrung und Kontolöschung

Wir bewahren Daten während des aktiven Kontos und so lange auf, wie es für den Service nötig ist. Ein Löschantrag sperrt das Konto und startet eine 30-tägige Reaktivierungsfrist. Danach werden Konto sowie persönliche oder verwaiste Workspace-Daten gelöscht. Daten eines gemeinsamen Arbeitsbereichs können bleiben und die Inhaberschaft kann übertragen werden. Daten eines abgelaufenen Tests oder Plans können getrennt davon bis zu 90 Tage schreibgeschützt bleiben und nach Warnungen gelöscht werden. Backups, Protokolle und technische Löschaufträge können bis zu 30 Tage bestehen. Begrenzte Abo-, Zahlungs-, Steuer-, Betrugs-, Sicherheits- oder Rechtsdaten dürfen bei Bedarf länger bleiben. Jeder Anbieter bewahrt die von ihm kontrollierten Daten nach eigener Richtlinie auf.

Internationale Datenübermittlungen

Unsere Hauptserver sowie die eingerichteten PostHog- und Sentry-Projekte werden in der EU gehostet. Apple, Google, RevenueCat, Stripe, SumUp, Square, Cloudflare, Expo, AWS und ihre Partner können Daten in anderen Ländern verarbeiten. Soweit ein Übermittlungsmechanismus erforderlich ist, stützen wir uns auf Angemessenheitsbeschlüsse, die Standardvertragsklauseln der Europäischen Kommission oder einen anderen rechtmäßigen Mechanismus des jeweiligen Anbieters.

Deine Rechte

Nach der DSGVO und geltenden Datenschutzgesetzen hast du die folgenden Rechte:

• Auskunftsrecht: Fordere eine Kopie der personenbezogenen Daten an, die wir über dich speichern.
• Recht auf Berichtigung: Korrigiere ungenaue oder unvollständige Daten über deine Kontoeinstellungen.
• Recht auf Löschung: Verlange die Löschung deines Kontos oder personenbezogener Daten, vorbehaltlich gemeinsamer Workspaces, gesetzlicher Aufbewahrung und anderer zulässiger Ausnahmen.
• Recht auf Einschränkung der Verarbeitung: Fordere, dass wir die Nutzung deiner Daten unter bestimmten Umständen einschränken.
• Recht auf Datenübertragbarkeit: Erhalte deine Daten in einem strukturierten, gängigen Format.
• Widerspruchsrecht: Widersprich der Verarbeitung auf Grundlage berechtigter Interessen. Du kannst Marketing-E-Mails jederzeit über Abmeldelinks oder E-Mail-Einstellungen abbestellen.
• Recht auf Widerruf der Einwilligung: Wenn die Verarbeitung auf Einwilligung beruht, kannst du sie jederzeit über die App-Einstellungen widerrufen, ohne dass die Rechtmäßigkeit der vorherigen Verarbeitung berührt wird.

Um eines dieser Rechte auszuüben, kontaktiere uns unter privacy@glamorph.com. Wir antworten innerhalb von 30 Tagen. Du hast außerdem das Recht, eine Beschwerde bei der Hellenic Data Protection Authority (HDPA) oder deiner lokalen Aufsichtsbehörde einzureichen.

Datenschutz von Kindern

Glamorph ist nicht für Nutzer unter 16 Jahren bestimmt. Wir erheben wissentlich keine personenbezogenen Daten von Kindern unter 16 Jahren. Wenn uns bekannt wird, dass ein Nutzer unter 16 Jahre alt ist, löschen wir sein Konto und die zugehörigen Daten umgehend. Wenn du glaubst, dass ein Kind unter 16 Jahren uns personenbezogene Daten bereitgestellt hat, kontaktiere uns bitte unter privacy@glamorph.com.

Cookies & Tracking

Die mobile Glamorph-App verwendet keine Browser-Cookies. Unsere Marketing-Website verwendet ein Cookie-Zustimmungsbanner: Analyse-Cookies (Google Analytics) und localStorage-basierte Analysen (PostHog) laden erst, nachdem du auf 'Alle akzeptieren' geklickt hast. Wenn du 'Nur notwendige' wählst, werden keine Analysen geladen. Unsere mobile App verwendet PostHog für Produktanalysen (pseudonym, EU-gehostet) auf Grundlage berechtigter Interessen: Du kannst dies jederzeit unter Einstellungen > Datenschutz deaktivieren. Wir verwenden Sentry für Absturzberichte in der mobilen App (EU-gehostet, nur pseudonyme Benutzer-ID). Wir verwenden keine Werbe-IDs (IDFA/GAID) oder Tracking-Pixel von Drittanbietern.

Änderungen an dieser Richtlinie

Wir können diese Erklärung aktualisieren, wenn sich der Service, unsere Anbieter oder rechtliche Pflichten ändern. Wir veröffentlichen die überarbeitete Fassung mit neuem Datum und weisen gegebenenfalls zusätzlich auf wesentliche Änderungen hin. Wenn eine Änderung eine Einwilligung erfordert, holen wir sie ausdrücklich ein.

Kontakt

Bei datenschutzbezogenen Fragen, Datenanfragen oder Beschwerden kontaktiere uns bitte unter privacy@glamorph.com.