Datenschutzerklärung

1. Verantwortlicher

Dimitri Hamann, Einzelunternehmer, handelnd unter NaillyPro Studio, Cuxhavener Straße 128b, 21149 Hamburg, Deutschland

E-Mail: info@naillypro.de

Telefon: 017664384773

2. Grundsätze der Verarbeitung

Wir verarbeiten personenbezogene Daten nur, soweit dies für die Bereitstellung der Plattform, die Registrierung, die Terminbuchung, die Studioverwaltung, die Zahlungsabwicklung, die Sicherheit, die Kommunikation oder zur Erfüllung gesetzlicher Pflichten erforderlich ist. Die Verarbeitung erfolgt nach der Datenschutz-Grundverordnung (DSGVO), dem Bundesdatenschutzgesetz (BDSG) und den anwendbaren deutschen Datenschutzvorschriften.

3. Daten bei Nutzung von Website und App

Bei der Nutzung von NaillyPro Studio über Website oder native Android-App können insbesondere Konto- und Kontaktdaten, Login-Daten, Rollen wie Kunde, Studio oder Admin, Profilangaben, Spracheinstellungen, Studio- und Salonprofile, Teamdaten, Leistungen, Öffnungszeiten, Verfügbarkeiten, Buchungen, Stornierungen, Zahlungsstatus, Supportanfragen, Bewertungen, technische Protokolldaten, App-Version, Betriebssystem, Gerätemodell, Push-Kennung und Fehlerdaten verarbeitet werden. Geräteberechtigungen werden nur für die jeweils erläuterte Funktion angefragt und können in den Android-Einstellungen widerrufen werden.

4. Buchungen, funktionale Kommunikation und Kundenkartei

Wenn du einen Termin buchst, benötigen wir deinen Namen und mindestens eine Kontaktmöglichkeit, also E-Mail-Adresse oder Telefonnummer. Zusätzlich verarbeiten wir Studio, Dienstleistung, Artist, Datum, Uhrzeit, Buchungs- und Zahlungsstatus sowie freiwillige Angaben zur Buchung. NaillyPro und das jeweilige Studio verwenden die angegebene Kontaktmöglichkeit für Buchungsbestätigung, notwendige Terminänderungen, Zahlungsinformationen, Erinnerungen und andere zur Durchführung des Termins erforderliche Studioinformationen. Diese funktionale Kommunikation ist keine Studio-Werbung. Das Studio erhält nur die Informationen, die es zur Vorbereitung und Durchführung des Termins benötigt. Bestehende Kontakte können innerhalb des Kundenstamms dieses einen Studios anhand von Name, E-Mail-Adresse oder Telefonnummer wiedererkannt werden, damit Termine korrekt zugeordnet und Dubletten vermieden werden. Kundenstammdaten anderer Studios werden dafür nicht verwendet. Der Behandlungsvertrag kommt zwischen dir und dem jeweiligen Studio zustande.

5. Uploads, Kamera, Fotomediathek und Referenzfotos

NaillyPro Studio ermöglicht das Hochladen von Studiofotos, Teamfotos, Profilbildern, Referenzbildern, aktuellen Nagelfotos, Belegen und Dokumenten zur Studio-Prüfung. In der App erfolgt der Zugriff auf Kamera oder ausgewählte Bilder der Fotomediathek nur nach Gerätefreigabe und Nutzeraktion; wir lesen nicht pauschal die gesamte Mediathek aus. Die ausgewählten Dateien werden gespeichert und je nach Funktion im Studio-Dashboard, Kundenbereich, Buchungsablauf oder zur internen Prüfung angezeigt.

6. Studio-Registrierung und Prüfung

Studios können Unternehmens-, Kontakt-, Zahlungs-, Profil- und Nachweisdaten hinterlegen. Wir verarbeiten diese Daten, um Studio-Anträge zu prüfen, die Identität oder Unternehmensangaben zu kontrollieren, ein Studio-Profil aufzubauen, ein Abo zu verwalten und das Studio nach Freigabe öffentlich sichtbar zu machen.

7. Zahlungen, Abos, Tap to Pay und Berichte

NaillyPro Studio verarbeitet Zahlungs-, Kunden-, Abo-, Rechnungs-, Checkout-, Status- und Transaktionsinformationen, soweit sie für Buchung, Abrechnung, Auszahlungen, Support, Betrugsprävention, Berichte/Exporte oder gesetzliche Nachweise erforderlich sind. Karten- oder Kontodaten werden grundsätzlich direkt durch Zahlungsdienstleister wie Stripe und, soweit aktiviert, PayPal verarbeitet. Wenn ein Studio Tap to Pay freiwillig nutzt, werden der Zahlbetrag, Zahlungsstatus, Reader-, Geräte-, technische Diagnose- und von Stripe verlangte Standortinformationen an Stripe übermittelt. Die Standortberechtigung dient insbesondere der Standortprüfung des Tap-to-Pay-Geräts; NFC, Bluetooth und lokale Netzwerkfunktionen werden nur nach Gerätefreigabe für das Auffinden, Verbinden und Betreiben des Zahlungslesers genutzt. Vollständige Kartendaten werden nicht in NaillyPro Studio gespeichert.

8. Bewertungen und Bewertungsanfragen

Nach einem abgeschlossenen Termin sendet NaillyPro Studio eine einmalige Bewertungsanfrage nur, wenn du diese E-Mail bei der Buchung freiwillig ausgewählt hast. Die Einwilligung ist keine Voraussetzung für die Buchung. Du kannst sie vor dem Versand jederzeit im Kundenkonto oder durch Nachricht an support@naillypro.de mit Wirkung für die Zukunft widerrufen. Wir verarbeiten dazu Buchungsbezug, Studio, Kunde, Artist, Einwilligungsfassung und -zeitpunkt, einen möglichen Widerruf, Einladungszeitpunkt, Ablaufdatum des Bewertungslinks sowie eine freiwillig abgegebene Bewertung und den Kommentar. Veröffentlichte Bewertungen können im Studio-Profil angezeigt werden.

9. Karten, Suche und Standort

Für die eingebettete Basiskarte nutzen wir OpenFreeMap mit Kartendaten aus OpenStreetMap; MapTiler kann weiterhin für Geocoding und Ortssuche eingesetzt werden. Dabei können Kartenaufrufe, IP-Adresse und technische Nutzungsdaten an OpenFreeMap sowie Suchbegriffe und technische Daten an MapTiler übermittelt werden. Die eingebettete Karte benötigt deinen Gerätestandort nicht. Erst wenn du „Standort verwenden“ auswählst, fragt der Browser nach der Freigabe. Nach der Freigabe verwenden wir die Koordinaten zur Sortierung und Anzeige von Studios in deiner Nähe; sie werden nicht dauerhaft in deinem Kundenprofil gespeichert. Bei Tap to Pay können separat die von Stripe verlangten Standortprüfungen erfolgen. Eine Standortfreigabe ist freiwillig und kann in den Geräte- beziehungsweise Browsereinstellungen widerrufen werden; die betreffende Funktion kann dann eingeschränkt sein. Der Link „Anfahrt mit Google Maps“ lädt keine Google-Karte in NaillyPro. Erst wenn du ihn auswählst, wirst du zu Google Maps weitergeleitet und das öffentlich angezeigte Studioziel beziehungsweise dessen Koordinaten werden als Ziel übergeben. Für die anschließende Routenplanung gelten die Datenschutzbestimmungen von Google.

10. Login, OAuth und Google Business

Für den Login verarbeitet NaillyPro Studio Sessiondaten und Sicherheitsinformationen. Wenn du Google-, Apple- oder Facebook-Login nutzt, wirst du zum jeweiligen Anbieter weitergeleitet; nach erfolgreicher Anmeldung werden die für den Login erforderlichen Profildaten wie Name, E-Mail-Adresse und anbieterbezogene Nutzer-ID übermittelt. Apple kann dabei auf deine Auswahl hin eine private Relay-E-Mail-Adresse übermitteln. Wenn ein Studio Google-Business-Funktionen verbindet, verarbeiten wir die erforderlichen OAuth-Statusdaten und von Google bereitgestellten Profil-/Bewertungsinformationen zur Anzeige und Verwaltung im Studio-Dashboard.

11. Google Workspace APIs und Google-Kalenderdaten

Wenn ein Studio Google Kalender freiwillig verbindet, kann NaillyPro Studio abhängig von den erteilten Berechtigungen auf Kalendernamen sowie auf Kalenderereignisse einschließlich Titel, Beschreibung, Start- und Endzeit und gegebenenfalls in einem Ereignis enthaltene Teilnehmerinformationen zugreifen.

Wir verwenden diese Daten ausschließlich, um die vom Studio ausdrücklich angeforderte Kalenderfunktion bereitzustellen: Kalender auswählen, belegte Zeiten anzeigen, Verfügbarkeiten abgleichen und NaillyPro-Termine oder Sperrzeiten im verbundenen Kalender erstellen, aktualisieren oder löschen. Aus fremden Google-Ereignissen speichern wir für die Verfügbarkeitsprüfung nur die benötigten Zeiträume und technischen Zuordnungen, nicht deren Titel oder Beschreibung.

Google-Nutzerdaten werden nicht verkauft, nicht für personalisierte oder allgemeine Werbung verwendet und nicht an Datenhändler, Wiederverkäufer oder vergleichbare Dritte weitergegeben.

Eine Weitergabe erfolgt nur an technische Auftragsverarbeiter, soweit dies für Betrieb und Sicherheit der Kalenderfunktion erforderlich ist. Dazu gehören insbesondere Vercel für Hosting und Funktionsausführung sowie Supabase für Datenbank und geschützte Speicherung. OpenAI wird für getrennte, ausdrücklich angeforderte Funktionen wie optionale Sprachtranskription eingesetzt; Google-Workspace- oder Google-Kalenderdaten werden dafür nicht an OpenAI übermittelt.

Google-Nutzerdaten einschließlich Rohdaten sowie aggregierter, anonymisierter oder daraus abgeleiteter Daten werden weder verwendet noch an Dritte übertragen, um allgemeine, nicht personalisierte KI- oder Machine-Learning-Modelle zu trainieren, zu verbessern oder zu entwickeln.

Die Übertragung erfolgt verschlüsselt über HTTPS/TLS. OAuth-Zugangsdaten werden verschlüsselt gespeichert. Der Zugriff ist durch technische Zugriffskontrollen auf autorisierte Systeme und Personen beschränkt, die ihn für Betrieb, Support oder Sicherheit benötigen.

Das Studio kann die Verbindung jederzeit in NaillyPro Studio trennen oder den Zugriff im Google-Konto widerrufen. Beim Trennen löschen wir die gespeicherten OAuth-Zugangsdaten, Synchronisierungskennungen und nicht mehr benötigten Google-Kalender-Zuordnungen. Sonstige Daten werden nur so lange aufbewahrt, wie sie für die angeforderte Funktion, Sicherheit oder gesetzliche Pflichten erforderlich sind.

Die Nutzung von Informationen aus Google APIs durch NaillyPro Studio erfolgt in Übereinstimmung mit der Google API Services User Data Policy: https://developers.google.com/terms/api-services-user-data-policy, einschließlich der Limited-Use-Anforderungen.

12. E-Mail, Push-Benachrichtigungen, Telegram, Spracherkennung, Studio-Marketing und Rewards

Wir versenden funktionale E-Mails insbesondere für Buchungsbestätigungen, notwendige Termin- oder Zahlungsinformationen, Sicherheit, Support und Studio-Prüfungen. Eine einmalige Bewertungsanfrage folgt nur nach deiner freiwilligen Auswahl bei der Buchung; die Auswahl kann vor dem Versand im Kundenkonto oder über support@naillypro.de widerrufen werden. Studio-Angebote und Studio-Neuheiten werden nur nach einer aktiven Entscheidung im Kundenkonto und anschließender Bestätigung per Double-Opt-in freigeschaltet. Die Einwilligung gilt ausschließlich für das ausgewählte Studio. Erst nach der Bestätigung wird der Kontakt im Marketingbereich dieses Studios sichtbar; Studios können die Einwilligung nicht selbst setzen. Ein Widerruf ist jederzeit im Kundenkonto oder über den Abmeldelink jeder Marketing-E-Mail möglich. Wir speichern Einwilligungsfassung, Anforderungs-, Bestätigungs- und Widerrufszeitpunkt, Double-Opt-in- und Abmeldetokens sowie Zustellstatus als Nachweis. Wenn du bei einer Gastbuchung ausdrücklich eine einmalige Information zum Nailly Punkteprogramm anforderst, senden wir diese frühestens nach einem Tag; ohne diese Auswahl wird keine solche Einladungs-E-Mail versendet. Im Kundenprofil kannst du freiwillig Tag und Monat deines Geburtstags hinterlegen; das Geburtsjahr wird nicht erfasst. Damit ist der NaillyPro Geburtstagsbonus automatisch aktiv. Das Studio erhält diese Angabe nicht und versendet über NaillyPro keine eigenen Geburtstagsgrüße. Solange Tag und Monat hinterlegt sind, schreibt NaillyPro einmal pro Kalenderjahr 500 Punkte gut und informiert darüber funktional. Nach der ersten Hinterlegung kann das Datum nicht selbstständig gegen ein anderes ausgetauscht werden. Beim Entfernen werden Tag und Monat gelöscht; für eine erneute Teilnahme oder Korrektur ist eine Prüfung durch den Support erforderlich. In der installierten Studio-App können Studios Push-Benachrichtigungen freiwillig aktivieren. Dafür verarbeiten wir insbesondere Push-Token, Plattform, Gerätemodell, Benachrichtigungseinstellungen und technische Zustellinformationen über Expo und Google Firebase Cloud Messaging. Studios können optional Telegram für Terminmeldungen, Tagesberichte und Terminentwürfe verbinden. Bei Termin-Sprachnachrichten können Audiodatei, Telegram-Dateibezug und erkannter Text zur Transkription an OpenAI übermittelt werden; ein Termin wird erst nach ausdrücklicher Bestätigung des Studios eingetragen. Wenn ein Studio die optionale Sprachsteuerung im Dashboard aktiv startet, werden Mikrofon-Audio, erkannter Text und die für eine Antwort erforderlichen, auf das gewählte Studio begrenzten Kalender- oder Dashboard-Daten in Echtzeit an OpenAI übermittelt. NaillyPro speichert dabei keine Audioaufzeichnung, protokolliert aber Sitzungsdauer, technische Nutzung und ausgeführte Funktionsarten für Abrechnung und Sicherheit.

13. Hosting, Datenbank, App-Verteilung und Shop

NaillyPro Studio wird über Vercel bereitgestellt. Datenbank, Storage und Backend-Daten werden über Supabase verarbeitet. Die Android-App wird über Google Play verteilt; dabei verarbeitet Google Daten nach seinen eigenen Bedingungen. Der in der App erreichbare Shop nutzt Shopify für Produkt-, Warenkorb- und Checkout-Funktionen. Beim Öffnen des Shops oder Checkouts können Shopify und angebundene Zahlungsdienste technische, Warenkorb-, Bestell-, Kontakt- und Zahlungsdaten verarbeiten. Dateien werden in der Produktionsumgebung grundsätzlich über den angebundenen Storage gespeichert; lokale Upload-Verzeichnisse dienen nur Entwicklung, Test oder Notfallumgebungen ohne konfigurierte Storage-Anbindung. Bei jedem Aufruf der Plattform fallen technisch erforderliche Server- und Sicherheitsprotokolle an.

14. Analyse und externe Skripte

NaillyPro Studio lädt Vercel Web Analytics, Vercel Speed Insights, Google Analytics und die eigene datensparsame Reichweitenmessung öffentlicher Seiten ausschließlich nach deiner Einwilligung in die Kategorie „Analyse“. Die eigene Messung speichert Seitenpfad, Seitentitel, Referrer-Domain, Kampagnenquelle, Gerätekategorie, ungefähres Land und einen täglich wechselnden technischen Besucher-Hash; rohe IP-Adressen und vollständige User-Agents werden nicht in der Auswertung abgelegt. Google Analytics kann technische Kennungen, Seitenaufrufe, Geräteinformationen, IP-bezogene Daten und Interaktionen an Google übermitteln. Du kannst die Einwilligung jederzeit über „Cookie-Einstellungen“ im Seitenfuß widerrufen; danach werden optionale Analysekomponenten nicht erneut geladen und erreichbare Google-Analytics-Cookies gelöscht.

15. Dienstleister im Überblick

Zu den eingesetzten oder vorbereiteten Dienstleistern gehören insbesondere Vercel für Hosting, Supabase für Datenbank und Storage, Stripe für Zahlungen, Tap to Pay, Abos, Connect und Identity-Prüfung, PayPal für Zahlungsfunktionen, Expo und Google Firebase Cloud Messaging für optionale App-Push-Benachrichtigungen, Google für Google Play, Login, Google-Business-Funktionen, Analytics und Werbung, Apple für „Mit Apple anmelden“, Meta für Facebook-Login, Shopify für Shop und Checkout, OpenFreeMap für die Basiskarte, MapTiler für Geocoding und Ortssuche, Telegram für optionale Studio-Benachrichtigungen und Terminanweisungen, OpenAI für optionale Sprachtranskription und Sprachassistenz sowie konfigurierte E-Mail-/SMTP-Dienste für Benachrichtigungen. Je nach Funktion können diese Anbieter Daten in der EU, im EWR oder in Drittländern verarbeiten.

16. Rechtsgrundlagen

Die Verarbeitung für Konto, Buchung, funktionale Buchungs- und Terminkommunikation, Studioverwaltung, Zahlung, Berichtsfunktionen, Kundenkartei, Terminentwürfe und Support erfolgt nach Art. 6 Abs. 1 lit. b DSGVO, soweit sie zur Anbahnung oder Durchführung eines Vertrags erforderlich ist. Studio-Marketing, Bewertungsanfragen, die einmalige Einladung zum Punkteprogramm, der freiwillige Geburtstagsbonus und optionale Analyse beruhen auf Art. 6 Abs. 1 lit. a DSGVO. Für elektronische Werbung beachten wir zusätzlich § 7 UWG. Sicherheits-, Missbrauchsvermeidungs-, notwendige Fehleranalyse-, Karten-, Plattformverwaltungs- und Dublettenvermeidungsprozesse können nach Interessenabwägung auf Art. 6 Abs. 1 lit. f DSGVO beruhen. Gesetzliche Aufbewahrungspflichten und steuerliche Nachweise beruhen auf Art. 6 Abs. 1 lit. c DSGVO.

17. Empfänger und Dienstleister

Empfänger personenbezogener Daten können je nach Nutzung Studios, Artists, Zahlungsdienstleister, Hosting- und Datenbankanbieter, Speicheranbieter, E-Mail-Dienstleister, Telegram, OpenAI, Kartenanbieter, Login-Anbieter, Analyse- und Werbedienste, Support- und IT-Dienstleister sowie Behörden sein, soweit eine rechtliche Pflicht besteht. Mit Dienstleistern werden, soweit erforderlich, Verträge zur Auftragsverarbeitung oder vergleichbare Datenschutzvereinbarungen geschlossen.

18. Übermittlung in Drittländer

Einige Anbieter können Daten außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums verarbeiten. Supabase-Ressourcen können insbesondere im Vereinigten Königreich betrieben werden; für das Vereinigte Königreich besteht ein aktueller Angemessenheitsbeschluss der EU-Kommission. Für andere Drittländer achten wir je nach Anbieter auf einen Angemessenheitsbeschluss, EU-Standardvertragsklauseln und erforderliche ergänzende Maßnahmen oder andere nach Kapitel V DSGVO vorgesehene Schutzmechanismen.

19. Speicherdauer und automatische Kontolöschung

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist. Ereignisse der eigenen Reichweitenmessung werden nach spätestens 180 Tagen gelöscht und zusätzlich mengenmäßig begrenzt. Meldungen zu rechtswidrigen Inhalten, Eingangsbestätigungen, Moderationsentscheidungen und zugehörige Kommunikation werden grundsätzlich spätestens drei Jahre nach Eingang der Meldung automatisch gelöscht, soweit kein Rechtsstreit, keine behördliche Pflicht oder ein anderer vorrangiger Nachweiszweck eine längere Aufbewahrung erfordert. Nicht bestätigte Double-Opt-in- und Einladungs-Tokens laufen automatisch ab; Einwilligungs- und Widerrufsnachweise können für die Dauer möglicher Nachweis- und Verteidigungspflichten gesperrt aufbewahrt werden. Die einmalige Punkteprogramm-Einladung wird nach Versand nicht wiederholt. Beim Entfernen des hinterlegten Geburtstags werden Tag und Monat gelöscht. Ein minimaler Sperrzeitpunkt ohne Geburtsdatum und der Punktebuchungsnachweis bleiben zur Missbrauchs- und Mehrfachgutschriftenvermeidung erhalten. Eine Kontolöschung kann in der App, im Webkonto oder über support@naillypro.de beantragt werden. Das Konto wird sofort deaktiviert und nach Ablauf einer 30-tägigen Reaktivierungsfrist durch einen täglich ausgeführten Löschlauf endgültig entfernt. Dabei werden insbesondere Login-Datensatz, Passwort- und Passkey-Daten, OAuth-Verknüpfungen, Profilbild, Push-Token, Reaktivierungs- und sonstige Kontotokens sowie Treuekontodaten gelöscht. Bei einem Studio werden außerdem das öffentliche Profil ausgeblendet und betriebliche App-Inhalte wie Fotos, Team, Leistungen, Wartelisten, Kundenmarketingdaten, Nachrichtenvorlagen und optionale Integrationszugänge entfernt. Buchungs-, Zahlungs-, Rechnungs-, Steuer-, Betrugsabwehr- und Nachweisdaten werden nur soweit und so lange getrennt beziehungsweise nicht öffentlich archiviert, wie handels-, steuer- oder zivilrechtliche Aufbewahrungs- und Verteidigungspflichten dies erfordern. Studio-Kundendaten, die ein Studio als eigener Verantwortlicher für seine Vertrags- oder Nachweispflichten führt, sind von der Löschung eines NaillyPro-Kundenlogins zu unterscheiden; entsprechende Betroffenenanfragen können zusätzlich an das jeweilige Studio zu richten sein. Push-Token werden außerdem bei Abmeldung oder Ungültigkeitsmeldung entfernt. Telegram-Terminentwürfe werden nur kurzfristig gespeichert und verfallen, wenn sie nicht bestätigt werden.

20. Deine Rechte

Du hast nach Maßgabe der DSGVO das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Wenn eine Verarbeitung auf Einwilligung beruht, kannst du die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Zur Ausübung deiner Rechte genügt eine Nachricht an die oben genannte E-Mail-Adresse.

21. Beschwerderecht

Du hast das Recht, dich bei einer Datenschutzaufsichtsbehörde zu beschweren. Für Hamburg ist insbesondere der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit zuständig.

22. Stand und Änderungen dieser Datenschutzerklärung

Stand: 30. August 2026, Fassung 2026-08-30.1. Wir passen diese Datenschutzerklärung an, wenn sich Funktionen, Dienstleister, Rechtslage oder Datenverarbeitungen ändern. Die jeweils aktuelle Fassung ist auf NaillyPro Studio abrufbar.