Die eingesetzten Dienstleister finden Sie in der Sub-Auftragsverarbeiter-Liste.

Datenschutzerklärung (Praxis-Konto)

Entwurf: der finale Wortlaut wird vor dem Produktivbetrieb juristisch geprüft und ergänzt.

Diese Erklärung informiert die Nutzer des Praxis-Kontos über die Verarbeitung ihrer Account- und Nutzungsdaten durch die BeautyFlow GmbH als Verantwortliche. Für die in der Plattform verarbeiteten Patienten-/Endkundendaten ist die Praxis Verantwortliche; die BeautyFlow GmbH verarbeitet diese ausschließlich als Auftragsverarbeiter (siehe Auftragsverarbeitungsvereinbarung in den AGB).

1 Verantwortlicher und Datenschutz-Kontakt

BeautyFlow GmbH, Meinekestr. 5, 10719 Berlin, Deutschland. E-Mail: info@huber-zipse.de. Datenschutz-Kontakt: info@huber-zipse.de.

2 Verarbeitete Daten

•Registrierungs-/Account-Daten: E-Mail, Passwort (gehasht), Konto-Typ, rechtlicher Name der Praxis

•Praxis-/Profildaten: Name, Anschrift, Steuer-/USt-Daten, Bankverbindung (für Rechnungen)

•Vertrags- und Zahlungsdaten: gewählter Tarif, Abrechnungsintervall, Abo- und Rechnungsstatus, Zahlungsart. Vollständige Zahlungsmitteldaten (Kartennummer, IBAN) werden ausschließlich von unserem Zahlungsdienstleister erhoben und verarbeitet und erreichen unsere Systeme nicht

•Einwilligungs- und Zustimmungsnachweise: Fassung der zugestimmten Vertragsdokumente, Zeitpunkt, IP-Adresse und Browserkennung. Rechtsgrundlage ist unsere Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO

•Daten abgebrochener Bestellvorgänge: E-Mail-Adresse, gewählter Tarif, Zeitpunkt und Status des Vorgangs

•Nachweise zum Gründerrabatt: das hochgeladene Dokument und die Prüfprotokolle (siehe § 9)

•Nutzungs-/Protokolldaten: Login-Zeitpunkte, Aktivitäts-/Audit-Log, technische Verbindungsdaten

•Kommunikations-/Supportdaten

3 Zwecke und Rechtsgrundlagen

•Bereitstellung und Verwaltung des Kontos sowie der Plattform: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO)

•Abrechnung und Erfüllung steuer-/handelsrechtlicher Pflichten: rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO)

•Sicherheit, Missbrauchs-/Betrugsprävention, Audit-Log, Produktverbesserung: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO)

•Zahlungsabwicklung über unseren Zahlungsdienstleister: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) sowie, hinsichtlich der dort erfolgenden Betrugsprävention, berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO)

•Nachweis erteilter Zustimmungen und Einwilligungen: rechtliche Verpflichtung und Rechenschaftspflicht (Art. 6 Abs. 1 lit. c in Verbindung mit Art. 5 Abs. 2 DSGVO)

•Erinnerung an einen abgebrochenen Bestellvorgang: berechtigtes Interesse an der Fortsetzung des von Ihnen selbst begonnenen Vorgangs (Art. 6 Abs. 1 lit. f DSGVO). Sie können dem jederzeit über den Abmeldelink in diesen Nachrichten widersprechen; wir versenden höchstens zwei solcher Erinnerungen

•Etwaige Newsletter/Marketing: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), jederzeit widerrufbar. Eine im Bestellvorgang erteilte Einwilligung wird erst wirksam, wenn Sie sie über den Bestätigungslink in einer gesonderten E-Mail bestätigen (Double-Opt-in)

4 Empfänger und Auftragsverarbeiter

(1) Wir setzen sorgfältig ausgewählte Auftragsverarbeiter ein (Hosting, Backend, E-Mail-Versand sowie, bei optionalen Funktionen, Transkription, KI und Video). Die jeweils aktuelle Übersicht finden Sie in der Sub-Auftragsverarbeiter-Liste.

(2) Für die Abwicklung von Zahlungen setzen wir die Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Dublin 2, Irland ein. Stripe erhebt und verarbeitet die Zahlungsmitteldaten unmittelbar bei Ihnen; wir erhalten lediglich Statusinformationen und die letzten Stellen des Zahlungsmittels. Stripe verarbeitet die Daten teils in unserem Auftrag, teils als eigener Verantwortlicher, insbesondere zur Betrugsprävention und zur Erfüllung eigener aufsichts- und geldwäscherechtlicher Pflichten. Einzelheiten und die Datenschutzerklärung von Stripe finden Sie unter stripe.com/de/privacy.

(3) Darüber hinaus geben wir Daten an Empfänger weiter, soweit wir dazu gesetzlich verpflichtet sind, insbesondere an Finanzbehörden und unseren Steuerberater im Rahmen der Rechnungslegung.

5 Drittland-Übermittlungen

Soweit Dienstleister in Drittländern verarbeiten, erfolgt dies auf Grundlage des EU-US Data Privacy Framework bzw. der EU-Standardvertragsklauseln (SCC 2021/914) mit ergänzenden Maßnahmen.

6 Speicherdauer

Account-Daten werden für die Dauer der Vertragsbeziehung und darüber hinaus im Rahmen gesetzlicher Aufbewahrungspflichten (z. B. § 147 AO, § 257 HGB) gespeichert; Audit-Log gemäß Löschkonzept. Anschließend werden die Daten gelöscht oder anonymisiert.

Für einzelne Datenarten gilt ergänzend:

•Zustimmungs- und Einwilligungsnachweise werden für die Dauer der Vertragsbeziehung und anschließend bis zum Ablauf der Verjährungsfrist möglicher Ansprüche aufbewahrt, längstens drei Jahre nach Ende des Kalenderjahres, in dem die Einwilligung widerrufen oder der Vertrag beendet wurde.

•Daten abgebrochener Bestellvorgänge werden nach zwölf Monaten anonymisiert, sofern kein Vertrag zustande gekommen ist. Die Vorgangszeile selbst bleibt ohne Personenbezug erhalten.

•Nachweise zum Gründerrabatt und die zugehörigen Prüfprotokolle werden für die Dauer der Rabattgewährung und anschließend bis zum Ablauf der Verjährungsfrist möglicher Ansprüche aufbewahrt.

•Rechnungs- und Zahlungsdaten unterliegen der gesetzlichen Aufbewahrungsfrist von zehn Jahren (§ 147 AO).

7 Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21) sowie das Recht, eine erteilte Einwilligung jederzeit zu widerrufen.

8 Beschwerderecht

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere am Ort Ihres gewöhnlichen Aufenthalts oder des mutmaßlichen Verstoßes.

9 Automatisierte Entscheidung bei der Prüfung des Gründerrabatts

Wenn Sie beim Kauf den Gründerrabatt beanspruchen, laden Sie einen Gründungsnachweis hoch. Dieser Nachweis wird ausschließlich automatisiert geprüft. Das Ergebnis entscheidet unmittelbar darüber, ob Ihnen der Rabatt gewährt wird. Es handelt sich damit um eine automatisierte Entscheidung im Einzelfall nach Art. 22 Abs. 1 DSGVO. Außerhalb dieser Prüfung findet keine automatisierte Entscheidung mit rechtlicher Wirkung statt.

Zweck und Rechtsgrundlage. Zweck ist die Prüfung, ob die Voraussetzungen des Gründerrabatts vorliegen, und der Schutz vor missbräuchlicher Inanspruchnahme. Rechtsgrundlage ist Ihre ausdrückliche Einwilligung nach Art. 22 Abs. 2 lit. a DSGVO, die Sie vor dem Hochladen erteilen. Die Verarbeitung erfolgt zusätzlich zur Vertragsanbahnung nach Art. 6 Abs. 1 lit. b DSGVO. Sie können den Kauf jederzeit ohne Rabatt und ohne Nachweis abschließen; die Einwilligung ist freiwillig.

Logik der Prüfung (Art. 13 Abs. 2 lit. f DSGVO). Die Prüfung läuft in zwei Stufen. Zuerst prüfen wir die Datei technisch: Dateityp, Größe, Seitenzahl, die in der Datei gespeicherten Erstellungs- und Änderungsangaben, Hinweise auf nachträgliche Bearbeitung sowie einen Abgleich, ob dasselbe Dokument bereits für eine andere Praxis eingereicht wurde. Anschließend wertet ein KI-Sprachmodell den Inhalt des Dokuments aus. Geprüft wird, ob ein zulässiger Gründungsnachweis vorliegt, ob die ausstellende Stelle plausibel ist, ob ein Hoheitszeichen vorhanden ist, ob der Name mit Ihren Angaben übereinstimmt, ob die Gründung höchstens 12 Monate zurückliegt, ob es sich um eine Neugründung und nicht um eine Verlegung oder Übernahme handelt, ob die angemeldete Tätigkeit zur Branche passt und ob die Pflichtangaben vollständig und die Angaben widerspruchsfrei sind. Die Auswertung erfolgt in zwei voneinander unabhängigen Durchläufen; der Rabatt wird nur gewährt, wenn beide Durchläufe übereinstimmend zu einem positiven Ergebnis kommen. Bei jeder Unsicherheit wird der Rabatt nicht gewährt.

Tragweite und Folgen. Die Entscheidung wirkt sich ausschließlich auf den Preis aus. Wird der Nachweis nicht anerkannt, können Sie ohaa.ai uneingeschränkt zum regulären Preis nutzen. Eine Ablehnung führt zu keinem Nachteil bei der Nutzung der Plattform und wird nicht an Dritte weitergegeben.

Ihr Recht auf menschliches Eingreifen (Art. 22 Abs. 3 DSGVO). Sie erhalten zu jeder Ablehnung den konkreten Grund im Klartext. Sie können bis zu drei Nachweise einreichen und jederzeit über die Schaltfläche „Prüfung durch einen Menschen anfordern" eine Überprüfung durch einen Mitarbeiter verlangen, Ihren Standpunkt darlegen und die automatisierte Entscheidung anfechten. Ein Mitarbeiter sieht dann das Dokument und die vollständigen Prüfprotokolle ein und entscheidet selbst.

Verarbeitete Daten, Empfänger und Speicherdauer. Verarbeitet werden das hochgeladene Dokument einschließlich der darin enthaltenen personenbezogenen Daten, der von Ihnen angegebene rechtliche Name, Ihre E-Mail-Adresse, IP-Adresse und Browserkennung sowie das vollständige Prüfprotokoll (eingesetztes Modell, Modell- und Prompt-Version, Rohantwort, Konfidenzwert, Entscheidung, Zeitstempel). Das Protokoll dient der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO. Für die KI-Auswertung setzen wir Anthropic als Auftragsverarbeiter ein; die Daten werden nicht zum Training von Modellen verwendet. Dokument und Protokoll werden für die Dauer der Geschäftsbeziehung und die anschließenden gesetzlichen Aufbewahrungsfristen gespeichert und nicht automatisiert gelöscht.

10 Bereitstellungspflicht

Die Bereitstellung der Account-Daten ist für den Vertragsschluss und die Nutzung der Plattform erforderlich; ohne sie kann das Konto nicht bereitgestellt werden.