Datenschutzerklärung
Stand 26. Oktober 2026. Gilt für Studios mit Konto und für Besucher dieser Seiten. Für Kundinnen, die bei einem Studio einen Termin buchen, gilt der Datenschutzhinweis auf der Buchungsseite des Studios; dort ist das Studio verantwortlich und wir verarbeiten in dessen Auftrag.
Verantwortlich
KSTLL, Inhaber Konstantin Siefert, Heinrich-Küderli-Str. 5, 71332 Waiblingen, hallo@velvetime.de.
Besuch der Seiten
Beim Aufruf verarbeitet unser Hosting-Anbieter Cloudflare IP-Adresse, Zeitpunkt, aufgerufene Seite, Browser und Betriebssystem in Server-Protokollen, um die Seite auszuliefern und Angriffe abzuwehren (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse am sicheren Betrieb). Protokolle werden nach spätestens 30 Tagen gelöscht. Es gibt keine Analyse- oder Werbe-Tools und keine Cookies ohne Anmeldung.
Konto
Beim Anlegen eines Kontos speichern wir Studioname, deinen Namen, E-Mail-Adresse, ein Passwort als Hash, den Zeitpunkt deiner Zustimmung zu den Nutzungsbedingungen und für den Schutz vor Missbrauch die IP-Adresse (Rate-Limit, höchstens zwei Stunden). Später kommen die Daten hinzu, die du selbst einträgst: Adresse, Telefon, Behandlungen, Zeiten, Farben, Einstellungen. Rechtsgrundlage ist der Vertrag (Art. 6 Abs. 1 lit. b DSGVO). Die Daten bleiben, solange das Konto besteht; nach der Löschung sind sie sofort aus dem System und spätestens nach 90 Tagen aus den Sicherungen entfernt, soweit keine Aufbewahrungspflicht (Rechnungen, § 147 AO, zehn Jahre) entgegensteht.
Anmeldung und Sitzungen
Ein Sitzungs-Cookie (zs_session, 30 Tage, nur für dieses Angebot, kein Tracking) hält dich angemeldet; es ist für die Nutzung erforderlich (§ 25 Abs. 2 TDDDG). Zu jeder Sitzung speichern wir Browser und Betriebssystem und den Zeitpunkt der letzten Nutzung, damit du unter Konto siehst, wo du angemeldet bist, und andere Geräte abmelden kannst. Anmelde-Links und Bestätigungslinks sind Einmal-Links; in der Datenbank liegt nur ihr Hashwert.
Passwortprüfung
Beim Setzen eines Passworts fragen wir den Dienst Have I Been Pwned (Superlative Enterprises Pty Ltd, Australien), ob es in bekannten Datenlecks vorkommt. Übertragen werden nur die ersten fünf Zeichen eines SHA-1-Hashwerts, nie das Passwort und keine Kontodaten; ein Rückschluss auf dein Passwort ist daraus nicht möglich (Art. 6 Abs. 1 lit. f DSGVO, Interesse an sicheren Konten).
Google Kalender
Wenn du deinen Google-Kalender verbindest, erteilst du Google die Freigabe für Velvetime. Wir speichern ein Zugriffstoken verschlüsselt, lesen aus den von dir gewählten Kalendern Beginn, Ende, Titel und Verfügbarkeit von Terminen und tragen Buchungen in den gewählten Kalender ein. Die Verbindung kannst du jederzeit in den Einstellungen trennen; das Token wird dann bei Google widerrufen und bei uns gelöscht. Die Nutzung von Google-Daten folgt der Google API Services User Data Policy einschließlich der Limited-Use-Anforderungen: keine Weitergabe, keine Werbung, kein Zugriff durch Menschen außer zur Fehlerbehebung auf deine Anfrage.
E-Mails und SMS
Bestätigungen, Erinnerungen und Hinweise an dich und an deine Kundinnen gehen über Brevo (Sendinblue GmbH, Köpenicker Straße 126, 10179 Berlin; Server in der EU). Wir protokollieren, welche Nachricht wann an welche Adresse ging und ob die Zustellung geklappt hat, nicht den Inhalt. Sicherheitshinweise (Passwort oder Adresse geändert) gehen ohne Widerspruchsmöglichkeit an die bisherige Adresse, weil sie dem Schutz deines Kontos dienen.
Hosting, Sicherheit, Sicherungen
Velvetime läuft bei Cloudflare (Cloudflare Germany GmbH, Rosental 7, 80331 München; Konzernmutter Cloudflare, Inc., USA, abgesichert durch Standardvertragsklauseln und das EU-US Data Privacy Framework) in Rechenzentren der EU. Übertragung ist verschlüsselt, jede Datenbankabfrage ist an dein Studio gebunden, Passwörter liegen nur als Hash vor. Die Datenbank wird täglich gesichert; Sicherungen liegen als verschlüsselte Artefakte bei GitHub (GitHub B.V., Niederlande) und werden nach 90 Tagen gelöscht.
Empfänger
Cloudflare (Hosting), Brevo (Versand), GitHub (Sicherungen), Have I Been Pwned (Passwortprüfung, nur Hash-Präfix), Google (nur bei verbundenem Kalender, von dir beauftragt). Sonst geben wir keine Daten weiter, es sei denn, wir sind gesetzlich dazu verpflichtet.
Deine Rechte
Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO). Unter Konto kannst du alle Daten deines Studios herunterladen und das Konto löschen; für alles andere schreib an hallo@velvetime.de. Beschwerden nimmt jede Datenschutzaufsicht entgegen, für uns zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg.