Wie wir mit
Ihren Daten
umgehen.

Informationen gem. Art. 13, 14 DSGVO

Stand: September 2026

1. Verantwortlicher (Art. 4 Nr. 7, Art. 13 DSGVO)

Vertretungsberechtigt: Geschäftsführer Cem Danyildiz

2. Datenschutzbeauftragte*r

Es ist kein Datenschutzbeauftragter bestellt, da die gesetzlichen Voraussetzungen (Art. 37 DSGVO, § 38 BDSG) derzeit nicht vorliegen.

Ansprechpartner für Datenschutzanfragen ist der unter „Verantwortlicher“ genannte Kontakt.

3. Zwecke, Rechtsgrundlagen, Speicherdauern

3.1 Webseiten-Bereitstellung / Server-Logs (Hosting: Vercel)

Beim Aufruf unserer Website verarbeitet unser Hostinganbieter Vercel Inc. aus technischen Gründen Protokolldaten („Server-Logs“), darunter IP-Adresse, Datum und Uhrzeit des Zugriffs, abgerufene URL/Datei, übertragene Datenmenge, Referrer-URL, User-Agent (Browser, Betriebssystem) sowie HTTP-Statuscode, um Betrieb, Stabilität und IT-Sicherheit sicherzustellen und Fehler zu analysieren.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im sicheren und störungsfreien Betrieb der Website.

Speicherdauer: max. 30 Tage; eine längere Speicherung erfolgt nur anlassbezogen zur Beweissicherung bei Sicherheitsvorfällen.

Eine Auswertung zu Marketing-/Profilingzwecken findet nicht statt. Vercel wird als Auftragsverarbeiter gem. Art. 28 DSGVO eingesetzt; ein Auftragsverarbeitungsvertrag (Data Processing Addendum) besteht. Anfragen aus dem EWR werden vorrangig über das Edge-Network (u. a. Frankfurt, FRA1) ausgeliefert.

3.2 Schriftarten (selbst gehostet via Next.js)

Unsere Website verwendet die Schriftarten „Fraunces“ und „Inter“. Diese werden zur Build-Zeit über die Next.js-Funktion next/font bezogen und ausschließlich von unserem eigenen Server (bzw. unserem Hosting-CDN) ausgeliefert. Es findet keine Verbindung zu Google-Servern beim Aufruf der Website statt, es werden keine IP-Adressen an Google übermittelt.

3.3 Kontakt (E-Mail / Telefon)

Wenn Sie uns per E-Mail oder Telefon ansprechen, verarbeiten wir Ihre Kontakt-/Stammdaten sowie die Inhalte Ihrer Anfrage zur Bearbeitung und Rückmeldung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche/vertragliche Kommunikation) bzw. Art. 6 Abs. 1 lit. f DSGVO.

Speicherdauer: bis Abschluss der Anfrage und darüber hinaus 12 Monate; gesetzliche Aufbewahrungspflichten bleiben unberührt.

3.4 Online-Terminbuchung

Termine buchen Sie über das Buchungsformular auf unserer Website. Dabei verarbeiten wir Vor- und Nachname, E-Mail-Adresse, Telefonnummer, gegebenenfalls Ihre Anschrift, das gewählte Studio, die gewählte Behandlung, Datum und Uhrzeit sowie freiwillige Anmerkungen. Wir nutzen diese Angaben, um den Termin zu vereinbaren, Ihnen eine Bestätigung und eine Terminerinnerung per E-Mail zu senden und den Termin im Studio vorzubereiten.

Die Buchungsdaten speichern wir in unserer Datenbank bei der Supabase Inc., die als Auftragsverarbeiter gem. Art. 28 DSGVO für uns tätig ist.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anbahnung und Durchführung des Behandlungsvertrags). Angaben zu Ihrer Gesundheit verarbeiten wir nur, wenn Sie diese freiwillig mitteilen, auf Grundlage Ihrer Einwilligung (Art. 9 Abs. 2 lit. a DSGVO).

Speicherdauer: 12 Monate nach dem letzten Termin oder Kontakt, soweit keine gesetzlichen Aufbewahrungspflichten (z. B. für Rechnungen) bestehen.

Haben Sie im Cookie-Banner der Kategorie „Marketing“ zugestimmt, melden wir die Buchung außerdem an Meta (siehe Ziffer 6.2). Haben Sie der Kategorie „Statistik“ zugestimmt, verknüpfen wir Ihren Besuch mit der Buchungsnummer (siehe Ziffer 5.1).

3.5 WhatsApp-Direktnachricht (Click-to-Chat)

Auf unserer Website finden Sie an mehreren Stellen einen WhatsApp-Button. Es handelt sich um einen einfachen Link auf wa.me; eine Verbindung zu Meta/WhatsApp wird erst hergestellt, nachdem Sie den Button anklicken und in Ihrer WhatsApp-Anwendung weitergeleitet werden.

Sobald Sie eine Nachricht über WhatsApp senden, verarbeitet die WhatsApp Ireland Ltd. (4 Grand Canal Square, Dublin, Irland) und ggf. die Meta Platforms Inc. Ihre Telefonnummer sowie die Nachrichteninhalte zur Zustellung der Kommunikation. Auf Datenverarbeitungen innerhalb der WhatsApp-Infrastruktur haben wir keinen Einfluss; es gelten die Datenschutzhinweise von WhatsApp/Meta.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Kommunikation) bzw. Art. 6 Abs. 1 lit. f DSGVO (effiziente Kontaktmöglichkeit).

3.6 Reichweitenmessung ohne Cookies (Vercel Web Analytics)

Um zu wissen, wie viele Menschen unsere Website insgesamt besuchen, nutzen wir Vercel Web Analytics der Vercel Inc. Das Verfahren setzt keine Cookies und legt nichts in Ihrem Browser ab. Erfasst werden die aufgerufene Seite, die verweisende Seite, das Land sowie Gerätetyp, Betriebssystem und Browser. Um Besuche voneinander zu unterscheiden, bildet Vercel aus der Anfrage einen Hashwert, der nach 24 Stunden verworfen wird. Eine Wiedererkennung über mehrere Tage oder über andere Websites findet nicht statt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, die Reichweite unserer Website mit möglichst wenigen Daten zu messen. Sie können dieser Verarbeitung jederzeit widersprechen (Ziffer 11). Vercel ist unser Auftragsverarbeiter (Ziffer 12).

3.7 Eingebundene Inhalte

Google Maps: Die Karten auf unseren Studioseiten und auf einzelnen Anzeigenseiten laden erst nach Ihrer Einwilligung oder Ihrem Klick (siehe Ziffer 7.2). Verlinkungen zu Standorten über Kurz-URLs (maps.app.goo.gl) stellen erst dann eine Verbindung zu Google her, wenn Sie den Link anklicken.

Trustpilot: Wir betten keine Trustpilot-Widgets ein. Verweise auf unser Trustpilot-Profil sind Hyperlinks; eine Verbindung zu Trustpilot wird nur hergestellt, wenn Sie den Link anklicken.

Video-Inhalte: Testimonials liefern wir über Vercel Blob (Vercel Inc.) aus und spielen sie im eigenen Player ab, ohne externe Player wie YouTube oder Vimeo. Zu Videos von Instagram und TikTok siehe Ziffer 7.3.

Bild-Auslieferung über externe CDNs: einzelne Bildressourcen werden derzeit von Drittanbieter-CDNs geladen (u. a. images.unsplash.com sowie das Webflow-CDN cdn.prod.website-files.com). Beim Bildabruf wird die IP-Adresse des Endgeräts an den jeweiligen CDN-Anbieter übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (effiziente Bereitstellung der Inhalte). Eine Migration auf ausschließlich eigene Auslieferung ist geplant.

3.8 Vertrag / Abrechnung

Verarbeitung von Kunden-/Vertrags-/Abrechnungsdaten zur Anbahnung/Durchführung des Vertrags und Erfüllung gesetzlicher Pflichten.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b, c DSGVO. Aufbewahrung: nach HGB/AO (i. d. R. 6 / 10 Jahre).

3.9 Bewerbungen

Verarbeitung von Bewerbungsdaten zur Entscheidung über die Begründung eines Beschäftigungsverhältnisses.

Rechtsgrundlage: § 26 BDSG; Talentpool nur mit Einwilligung (Art. 6 Abs. 1 lit. a). Speicherdauer: bei Absage i. d. R. 6 Monate.

3.10 Website-Chat „Sara“

Über das Chatfenster „Sara“ können Sie uns auf der Website Fragen stellen, etwa zu Behandlungen, Preisen oder Terminen. Sara ist eine KI-Assistentin. Saras Antworten entstehen automatisch mithilfe künstlicher Intelligenz und können Fehler enthalten. Darauf weist auch der Chat selbst hin.

Der Chat startet erst, wenn Sie ihn öffnen. Vorher legen wir dafür nichts in Ihrem Browser ab. Beim Öffnen speichern wir im Browserspeicher eine zufällige Sitzungskennung (dreamify_sara_session, Ziffer 4.2), damit Ihr bisheriger Verlauf nach einem Seitenwechsel erhalten bleibt. Mit dieser Kennung fragt Ihr Browser unseren Server nach einem vorhandenen Verlauf.

Senden Sie eine Nachricht, übermittelt Ihr Browser den Text, die Sitzungskennung und die Adresse der Seite ohne Parameter an unseren Server bei der Vercel Inc. Unser Server speichert den Verlauf mit Sitzungskennung, Seitenadresse und dem Zeitpunkt jeder Nachricht in unserer Datenbank bei der Supabase Inc. (Ziffer 8) und leitet Nachricht, Sitzungskennung und Seitenadresse an einen Dienst auf Basis der Software n8n weiter, der die Antwort erzeugt. Ihre IP-Adresse und Browserangaben geben wir dabei nicht an diesen Dienst weiter.

Die Verläufe kann unser Team in unserem internen System einsehen. Ein Teammitglied kann den Chat übernehmen, etwa wenn Sara jemanden dazubittet, und antwortet dann persönlich. Bitte teilen Sie im Chat keine Angaben zu Ihrer Gesundheit mit, die für Ihre Frage nicht nötig sind.

Rechtsgrundlage: Geht es um eine Buchung oder eine Behandlung, Art. 6 Abs. 1 lit. b DSGVO (Anbahnung eines Vertrags), sonst Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, Ihre Fragen schnell zu beantworten. Für die Sitzungskennung im Browser gilt § 25 Abs. 2 Nr. 2 TDDDG, weil sie nur den Chat ermöglicht, den Sie selbst geöffnet haben.

Speicherdauer: Die Sitzungskennung bleibt in Ihrem Browser, bis Sie den Browserspeicher löschen. Den Chatverlauf speichern wir, solange wir ihn für die Bearbeitung Ihrer Anfrage benötigen; gesetzliche Aufbewahrungspflichten bleiben unberührt.

4. Einwilligung, Cookies und Speicherung im Endgerät (§ 25 TDDDG)

Beim ersten Besuch fragt ein Banner nach Ihrer Einwilligung. Sie können alle Kategorien annehmen, nur die notwendigen Funktionen zulassen oder unter „Einstellungen“ einzeln wählen. Voreingestellt ist nichts. Solange Sie nicht zugestimmt haben, laden wir keine Dienste für Statistik, Marketing oder externe Inhalte und stellen keine Verbindung zu deren Anbietern her.

• Notwendig (immer aktiv): Speicherung Ihrer Auswahl, Merker für den Sprachvorschlag, sichere Auslieferung der Website und Terminbuchung sowie Chat und Warenkorb, sobald Sie diese nutzen.
• Statistik: eigene Besuchsauswertung und Vercel Speed Insights (Ziffer 5).
• Marketing: Google Analytics 4, Google Ads, Meta-Pixel und Conversions API (Ziffer 6).
• Externe Dienste: Google Übersetzer, Google Maps sowie Videos von Instagram und TikTok (Ziffer 7).

Rechtsgrundlage: Für das Speichern und Auslesen von Informationen auf Ihrem Endgerät § 25 Abs. 1 TDDDG, für die anschließende Verarbeitung Art. 6 Abs. 1 lit. a DSGVO. Technisch notwendige Speicherungen stützen sich auf § 25 Abs. 2 Nr. 2 TDDDG und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer funktionsfähigen Website).

Widerruf: Ihre Einwilligung ist freiwillig. Sie können sie jederzeit mit Wirkung für die Zukunft ändern oder widerrufen, über den Link „Cookie-Einstellungen“ am Ende jeder Seite oder direkt hier über die Cookie-Einstellungen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt.

4.1 Nachweis Ihrer Einwilligung

Damit wir nachweisen können, dass und wie Sie eingewilligt haben (Art. 7 Abs. 1 DSGVO), speichern wir jede Auswahl in unserer Datenbank bei der Supabase Inc. (Auftragsverarbeiter). Gespeichert werden eine zufällige Kennung, die auch als Cookie in Ihrem Browser liegt, die Version des Banners, Ihre Auswahl je Kategorie, der Zeitpunkt, die Seite, auf der Sie gewählt haben, und ob die Wahl im Banner, in den Cookie-Einstellungen oder über die Sprachwahl (Ziffer 7.1) getroffen wurde. IP-Adresse und Browserdaten speichern wir dafür nicht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 7 Abs. 1 DSGVO. Speicherdauer: 36 Monate ab dem Zeitpunkt Ihrer Auswahl.

4.2 Was in Ihrem Browser gespeichert wird

• df_consent (Cookie, notwendig, 12 Monate): Ihre Auswahl im Cookie-Banner.
• df_consent_id (Cookie, notwendig, 12 Monate): zufällige Kennung für den Einwilligungsnachweis.
• df_sprache_gefragt (Browserspeicher, notwendig, bis Sie den Browserspeicher löschen): Merker mit dem Wert „1“. Wir setzen ihn, sobald Sie eine Sprache wählen, den Sprachvorschlag beantworten oder die Website die Sprache automatisch umstellt. Danach fragen wir nicht erneut und stellen die Sprache nicht mehr von selbst um. Eine Kennung enthält der Merker nicht (Ziffer 7.1).
• dreamify_sara_session (Browserspeicher, notwendig, erst wenn Sie den Chat öffnen, bis Sie den Browserspeicher löschen): zufällige Kennung Ihres Chats, damit der Verlauf nach einem Seitenwechsel erhalten bleibt (Ziffer 3.10).
• dreamify_shop_cart_v1 (Browserspeicher, notwendig, erst wenn Sie etwas in den Warenkorb legen, bis zur Bestellung, bis Sie den Warenkorb leeren oder den Browserspeicher löschen): Artikel und Mengen in Ihrem Warenkorb im Zahnschmuck-Shop.
• dreamify_shop_gutschein_v1 (Browserspeicher, notwendig, erst wenn Sie einen Gutschein einlösen, bis zur Bestellung, bis Sie ihn entfernen oder den Browserspeicher löschen): der eingelöste Gutschein, damit er auf dem Weg vom Warenkorb zum Termin erhalten bleibt.
• df_intern (Cookie, nur auf Geräten unseres Teams nach der Anmeldung in unserem internen System oder in unserer Auswertung, 30 Tage): Merker ohne Kennung, damit Besuche des Teams nicht in die Besuchsauswertung einfließen und Buchungen von diesen Geräten nicht an Meta gehen (Ziffer 6.2).
• df_vid (Browserspeicher, nur mit Einwilligung „Statistik“, bis zum Widerruf oder bis Sie den Browserspeicher löschen): zufällige Besucherkennung der eigenen Besuchsauswertung.
• df_sid, df_attr und df_pv (Browserspeicher der Sitzung, nur mit Einwilligung „Statistik“, enden mit dem Schließen des Tabs): Sitzungskennung, Herkunft des Besuchs, etwa die Kampagne einer Anzeige, und die Reihenfolge der aufgerufenen Seiten.
• _ga, _ga_* (Cookies von Google, nur mit Einwilligung „Marketing“, bis zu 2 Jahre) und _gcl_au (Google Ads, 90 Tage).
• _fbp und _fbc (Cookies, nur mit Einwilligung „Marketing“, 90 Tage): Kennungen für Meta. _fbp setzt der Meta-Pixel. _fbc mit der Klick-Kennung einer Meta-Anzeige setzt der Meta-Pixel oder unsere Website selbst aus dem gespeicherten Anzeigenklick (df_fbclid), wenn es noch fehlt.
• df_fbclid (Browserspeicher, nur mit Einwilligung „Marketing“, 90 Tage): Klick-Kennung einer Meta-Anzeige mit dem Zeitpunkt des Klicks, damit wir eine spätere Buchung der Anzeige zuordnen können.
• googtrans (Cookie, nur mit Einwilligung „Externe Dienste“, in der Regel bis zum Ende der Sitzung): die Sprache, in die der Google Übersetzer die Seite übersetzt. Das Cookie entsteht, wenn Sie im Sprachmenü eine andere Sprache wählen, im Sprachvorschlag „Ja“ antworten oder die Website die Sprache automatisch umstellt (Ziffer 7.1).

5. Statistik (nur mit Ihrer Einwilligung)

5.1 Eigene Besuchsauswertung

Mit Ihrer Einwilligung in die Kategorie „Statistik“ werten wir aus, wie unsere Website genutzt wird. Dazu erfassen wir aufgerufene Seiten und deren Reihenfolge, die aktive Verweildauer je Seite, die Scrolltiefe, welche Bereiche einer Seite sichtbar waren, Klicks auf Schaltflächen und Links sowie eine zusammengefasste Heatmap. Für die Heatmap fassen wir Mausbewegungen sowie Klick- und Tipppositionen bereits in Ihrem Browser zu groben Rasterfeldern zusammen. Einzelne Mausbewegungen, Bildschirmaufnahmen oder Eingaben in Formularfelder zeichnen wir nicht auf.

Außerdem verarbeiten wir technische Angaben wie Gerätetyp, Browser, Betriebssystem, Bildschirmbreite und Browsersprache, die verweisende Seite und Kampagnenparameter aus dem Link (z. B. utm_source, gclid oder fbclid). Land und Region leiten wir beim Aufruf aus Ihrer IP-Adresse ab. Die IP-Adresse selbst speichern wir nicht.

Um Besuche und wiederkehrende Besucher zu erkennen, legen wir eine zufällige Kennung in Ihrem Browser ab (Ziffer 4.2). Buchen Sie einen Termin, verknüpfen wir den Besuch mit der Buchungsnummer. So sehen wir, welche Seiten vor einer Buchung hilfreich waren. Die Auswertungen sind nur der Geschäftsführung und von ihr berechtigten Personen zugänglich.

Die Daten speichern wir in unserer Datenbank bei der Supabase Inc. als Auftragsverarbeiter (Art. 28 DSGVO).

Rechtsgrundlage: § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Speicherdauer: Die Rohdaten löschen wir nach 13 Monaten. Danach bleiben nur zusammengefasste Zahlen ohne Bezug zu einzelnen Besuchen, etwa Besuche pro Tag.

5.2 Vercel Speed Insights

Mit Ihrer Einwilligung in die Kategorie „Statistik“ messen wir mit Vercel Speed Insights der Vercel Inc., wie schnell unsere Seiten laden. Dabei werden die aufgerufene Seite, Messwerte zur Ladezeit sowie Gerätetyp, Browser und Betriebssystem an Vercel übermittelt. Speed Insights setzt keine Cookies.

Rechtsgrundlage: § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Vercel ist unser Auftragsverarbeiter (Ziffer 12).

6. Marketing (nur mit Ihrer Einwilligung)

6.1 Google Analytics 4 und Google Ads

Mit Ihrer Einwilligung in die Kategorie „Marketing“ nutzen wir Google Analytics 4 und Google Ads (Conversion-Messung und Remarketing) der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google“). Vor Ihrer Einwilligung laden wir keine Skripte von Google und stellen keine Verbindung zu Google her.

Google erfasst dabei unter anderem aufgerufene Seiten, Klicks, Geräte- und Browserangaben, die ungefähre Herkunft, Ihre IP-Adresse sowie Kennungen aus Cookies (Ziffer 4.2). Mit Google Ads messen wir, ob ein Klick auf eine unserer Anzeigen zu einer Buchung geführt hat, und können Personen, die unsere Website besucht haben, erneut Anzeigen zeigen.

Rechtsgrundlage: § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Speicherdauer: Die Analytics-Daten bewahrt Google nach unserer Kontoeinstellung höchstens 14 Monate auf, die Cookies laufen nach den in Ziffer 4.2 genannten Fristen ab. Eine Übermittlung an die Google LLC in den USA ist möglich. Die Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert. Weitere Informationen finden Sie in der Datenschutzerklärung von Google.

6.2 Meta-Pixel und Conversions API

Mit Ihrer Einwilligung in die Kategorie „Marketing“ nutzen wir den Meta-Pixel und die Conversions API der Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland („Meta“). Damit messen wir, ob unsere Anzeigen auf Facebook und Instagram zu Besuchen und Buchungen führen, und können Personen, die unsere Website besucht haben, erneut Anzeigen zeigen.

Der Meta-Pixel lädt erst nach Ihrer Einwilligung, dann aber auf allen Seiten unserer Website, auch auf den Anzeigenseiten, in der Terminbuchung und im Buchungsformular zum Einbetten (/booking-embed). Er übermittelt aufgerufene Seiten und Ereignisse wie Klicks auf Buchungsknöpfe, das Absenden und den Abschluss einer Buchung, dabei auch die gewählte Leistung und ihren Preis. Hinzu kommen Ihre IP-Adresse, Browserangaben sowie Kennungen aus den Cookies _fbp und _fbc. Senden Sie eine Buchung ab, übergeben wir dem Pixel zusätzlich Ihre E-Mail-Adresse und Telefonnummer, Ihren Vor- und Nachnamen, Ort und Postleitzahl sowie das Land, das wir aus der Vorwahl Ihrer Telefonnummer ableiten („Advanced Matching“). Wir übergeben sie dem Pixel nur als Zeichenfolgen, die schon Ihr Browser mit dem Hashverfahren SHA-256 erzeugt. Haben Sie auch der Kategorie „Statistik“ zugestimmt, kommt die zufällige Besucherkennung in gehashter Form hinzu. Der Pixel sendet diese Zeichenfolgen mit den folgenden Ereignissen an Meta, etwa mit dem Absenden und dem Abschluss der Buchung.

Über die Conversions API meldet zusätzlich unser Server Ereignisse direkt an Meta. Haben Sie auch der Kategorie „Statistik“ zugestimmt, sind das einzelne Ereignisse der Besuchsauswertung, derzeit der Klick auf einen Buchungsknopf bei den Paketen unserer Anzeigenseiten. Sie enthalten das Ereignis mit der aufgerufenen Seite und dem Preis des gewählten Pakets, Ihre IP-Adresse, die Browserkennung (User-Agent), die Klick-Kennung aus einer Meta-Anzeige, die Kennung aus dem Cookie _fbp sowie in gehashter Form die zufällige Besucherkennung und das Land, aus dem Ihre IP-Adresse stammt.

Buchen Sie einen Termin, meldet unser Server dafür zwei Ereignisse: „Lead“ für das Absenden des Formulars und „Schedule“ für die gespeicherte Buchung, jeweils mit der gebuchten Leistung und ihrem Preis. Das Schedule trägt die Buchungsnummer als Ereignis-Kennung, das Lead eine zufällige Kennung, die Ihr Browser beim Absenden erzeugt und auch dem Pixel mitgibt. An diesen Kennungen erkennt Meta, dass Pixel und Server dasselbe Ereignis melden, und zählt es nur einmal. Beide Ereignisse senden wir allein mit Ihrer Einwilligung in „Marketing“, auch ohne „Statistik“. Dazu übermitteln wir Ihre E-Mail-Adresse und Telefonnummer, Ihren Vor- und Nachnamen, Ort und Postleitzahl sowie das Land, das wir aus der Vorwahl Ihrer Telefonnummer ableiten. Ergibt die Vorwahl kein eindeutiges Land, nehmen wir das Land, aus dem Ihre IP-Adresse stammt, wie es unser Hoster Vercel ermittelt. Diese Angaben wandeln wir vorher mit dem Hashverfahren SHA-256 in eine Zeichenfolge um, sodass sie nicht im Klartext übertragen werden. Meta gleicht diese Zeichenfolgen mit eigenen Nutzerkonten ab. Ungehasht hinzu kommen Ihre IP-Adresse, die Browserkennung (User-Agent), die Klick-Kennung aus einer Meta-Anzeige und die Kennung aus dem Cookie _fbp. Haben Sie auch der Kategorie „Statistik“ zugestimmt, senden wir außerdem die zufällige Besucherkennung in gehashter Form.

Ist unser Buchungsformular auf der Seite eines anderen Anbieters eingebettet, kann Ihr Browser uns Ihre Einwilligung dort meist nicht übermitteln. Dann laden wir den Pixel nicht und melden die Buchung nicht an Meta. Ohne Ihre Einwilligung in „Marketing“ senden wir nichts an Meta.

Buchungen von Geräten unseres Teams melden wir nicht an Meta, weder über den Pixel noch über die Conversions API, es sei denn, unser Team sendet eine Buchung ausdrücklich als Test. Solche Geräte erkennen wir am Cookie df_intern, das wir setzen, wenn sich dort innerhalb der letzten 30 Tage jemand in unserem internen System oder in unserer Auswertung angemeldet hat (Ziffer 4.2). So zählen Testbuchungen des Teams nicht als echte Buchungen.

Gemeinsame Verantwortlichkeit: Für die Erhebung der Daten auf unserer Website und deren Übermittlung an Meta sind wir und Meta gemeinsam verantwortlich (Art. 26 DSGVO). Die Einzelheiten regelt eine Vereinbarung mit Meta, die Ergänzung für Verantwortliche. Danach ist Meta unter anderem dafür zuständig, Anfragen zu den bei Meta verarbeiteten Daten zu beantworten. Sie können sich aber auch an uns wenden. Für die weitere Verarbeitung bei Meta ist Meta allein verantwortlich.

Rechtsgrundlage: § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Eine Übermittlung an die Meta Platforms Inc. in den USA ist möglich. Die Meta Platforms Inc. ist nach dem EU-US Data Privacy Framework zertifiziert. Weitere Informationen finden Sie in der Datenschutzrichtlinie von Meta.

7. Externe Dienste (nur mit Ihrer Einwilligung oder nach Klick)

Die folgenden Dienste binden wir nur ein, wenn Sie der Kategorie „Externe Dienste“ zugestimmt haben oder den jeweiligen Inhalt über den Platzhalter mit „Inhalt laden“ selbst laden. Vorher besteht keine Verbindung zum Anbieter. Beim Laden erhält der Anbieter technisch bedingt Ihre IP-Adresse, Browserangaben und die aufgerufene Seite und kann Cookies setzen.

Die Einwilligung in diese Kategorie erteilen Sie im Cookie-Banner, in den Cookie-Einstellungen, mit dem Häkchen „Externe Inhalte immer erlauben“ an einem Platzhalter oder über die Sprachwahl (Ziffer 7.1). Sie gilt jeweils für alle Dienste dieser Kategorie.

Rechtsgrundlage: § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO.

7.1 Google Übersetzer und Sprachvorschlag

Für die Übersetzung der Website ins Englische, Französische und Türkische nutzen wir den Google Übersetzer der Google Ireland Limited. Das Skript von Google lädt erst, wenn Sie der Kategorie „Externe Dienste“ zugestimmt haben. Dann erhält Google Ihre IP-Adresse und Browserangaben. Erscheint die Seite in einer anderen Sprache, weil Sie diese im Sprachmenü gewählt oder dem Sprachvorschlag zugestimmt haben oder weil die Website die Sprache automatisch umgestellt hat, werden die Texte der Seite zur Übersetzung an Google übertragen. Die gewählte Sprache liegt im Cookie googtrans (Ziffer 4.2). Eine Übermittlung an die Google LLC in den USA ist möglich (EU-US Data Privacy Framework). Maßgeblich ist stets die deutsche Fassung unserer Texte, insbesondere dieser Datenschutzerklärung.

Sprachvorschlag: Bevorzugt Ihr Browser eine andere Sprache als Deutsch, bieten wir Ihnen die Seite je nach Land auf Englisch, Französisch oder Türkisch an. Dafür fragt Ihr Browser bei unserem Hoster Vercel ab, aus welchem Land Ihre IP-Adresse stammt (Adresse /api/geo). Die Antwort enthält nur den Ländercode, etwa „FR“. Die Länderabfrage selbst speichert nichts, und kein Zwischenspeicher darf die Antwort aufbewahren. Die Abfrage findet nur statt, solange Sie weder eine Sprache gewählt noch den Sprachvorschlag beantwortet haben, und nicht auf den Buchungsseiten. Bei erkennbar automatisierten Zugriffen wie Suchmaschinen unterbleibt sie. Für Deutschland, Österreich, die Schweiz und Liechtenstein schlagen wir keine andere Sprache vor.

Haben Sie der Kategorie „Externe Dienste“ bereits zugestimmt, stellt die Website die Sprache danach automatisch um. Ohne diese Einwilligung erscheint nur ein kurzer Vorschlag in der vorgeschlagenen Sprache. Mit „Ja“ im Vorschlag oder mit „Zulassen und übersetzen“ im Sprachmenü erteilen Sie die Einwilligung für die ganze Kategorie „Externe Dienste“, also für Google Übersetzer, Google Maps sowie Videos von Instagram und TikTok, und die Seite wird übersetzt. Diese Einwilligung protokollieren wir wie eine Auswahl im Cookie-Banner (Ziffer 4.1). Sie können sie jederzeit in den Cookie-Einstellungen widerrufen. Stellt die Website die Sprache automatisch um oder antworten Sie im Vorschlag mit „Ja“, erfassen wir diesen Sprachwechsel mit dem Ländercode in unserer Besuchsauswertung (Ziffer 5.1), sofern Sie der Kategorie „Statistik“ zugestimmt haben. Ihre Antwort und jede Sprachwahl merken wir uns im Browserspeicher (df_sprache_gefragt, Ziffer 4.2), damit wir nicht erneut fragen.

Rechtsgrundlage: Für den Google Übersetzer § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO (Ihre Einwilligung). Für die Abfrage des Landes Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, Besucherinnen und Besuchern aus dem Ausland die Website in ihrer Sprache anzubieten und dafür nicht mehr als den Ländercode zu verarbeiten. Für den Merker df_sprache_gefragt § 25 Abs. 2 Nr. 2 TDDDG, weil er nur Ihren Wunsch umsetzt, nicht erneut gefragt zu werden.

7.2 Google Maps

Auf unseren Studioseiten und auf einzelnen Anzeigenseiten zeigen wir die Lage des Studios mit Google Maps der Google Ireland Limited. Die Karte lädt erst nach Ihrer Einwilligung oder Ihrem Klick auf den Platzhalter. Eine Übermittlung an die Google LLC in den USA ist möglich (EU-US Data Privacy Framework).

7.3 Videos von Instagram und TikTok (Studio-Stories)

Auf unseren Studioseiten und auf der Vorher-Nachher-Seite (/ergebnisse) zeigen wir kurze Videos, die Studio-Stories. Liegt ein Video bei uns, spielen wir es im eigenen Player ab (Vercel Blob), ohne Verbindung zu Instagram oder TikTok. Andere Videos betten wir von Instagram (Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland) und TikTok (TikTok Technology Limited, 10 Earlsfort Terrace, Dublin, D02 T380, Irland) ein. Zunächst sehen Sie nur ein Vorschaubild von unserem eigenen Server. Das Video des Anbieters lädt erst, wenn Sie es öffnen und „Inhalt laden“ wählen. Haben Sie der Kategorie „Externe Dienste“ zugestimmt, lädt es direkt beim Öffnen. Führt eine Karte nur als Link zum Original, entsteht die Verbindung zum Anbieter erst mit Ihrem Klick auf den Link.

Sind Sie beim Anbieter angemeldet, kann er den Besuch Ihrem Konto zuordnen. Meta kann Daten in die USA übermitteln (EU-US Data Privacy Framework). TikTok verarbeitet Daten nach eigenen Angaben auch in Ländern außerhalb des EWR.

8. Empfänger / Kategorien von Empfängern

Folgende Dienstleister verarbeiten Daten in unserem Auftrag (Art. 28 DSGVO). Mit allen bestehen Auftragsverarbeitungsverträge.

• Vercel Inc. (USA), Hosting, CDN, Videoauslieferung, Länderabfrage für den Sprachvorschlag, Reichweitenmessung ohne Cookies und Speed Insights
• Supabase Inc. (USA), Datenbank für Buchungen, Besuchsauswertung, Einwilligungsnachweis und Chatverläufe
• Unsplash Inc. (Kanada) sowie Webflow Inc. (USA), Bild-CDN für einzelne Medienressourcen

Eigenständig oder gemeinsam mit uns verantwortlich sind die folgenden Anbieter, jeweils nur in den beschriebenen Fällen.

• Google Ireland Limited (Irland) und Google LLC (USA), nur mit Ihrer Einwilligung oder nach Ihrem Klick (Ziffern 6.1, 7.1 und 7.2)
• Meta Platforms Ireland Limited (Irland) und Meta Platforms Inc. (USA), nur mit Ihrer Einwilligung oder nach Ihrem Klick (Ziffern 6.2 und 7.3), für Pixel und Conversions API gemeinsam mit uns
• TikTok Technology Limited (Irland), nur nach Ihrem Klick oder mit Ihrer Einwilligung (Ziffer 7.3)
• WhatsApp Ireland Ltd. / Meta Platforms Inc. (Irland/USA), nur bei einem Chat, den Sie selbst über den WhatsApp-Button beginnen

9. Drittlandübermittlungen

Soweit Anbieter ihren Sitz außerhalb des EWR haben oder Daten dorthin übermitteln (insbesondere Vercel, Supabase, Webflow, Unsplash, Google, Meta und TikTok), erfolgen Übermittlungen auf Basis der jeweils eingesetzten Rechtsinstrumente: Angemessenheitsbeschluss zum EU-US Data Privacy Framework (sofern der Empfänger zertifiziert ist), Angemessenheitsbeschluss für Kanada (2002/2/EG), EU-Standardvertragsklauseln gem. Durchführungsbeschluss (EU) 2021/914 sowie ggf. ergänzende technische und organisatorische Maßnahmen.

10. Pflicht zur Bereitstellung / Automatisierte Entscheidungen

Es besteht keine gesetzliche Pflicht zur Bereitstellung der Website-/Kontaktdaten; ohne bestimmte Angaben können Funktionen/Kommunikation eingeschränkt sein. Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling i. S. v. Art. 22 DSGVO statt.

11. Ihre Rechte

Sie haben Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch sowie Widerruf erteilter Einwilligungen (Art. 13–22 DSGVO). Einwilligungen aus dem Cookie-Banner widerrufen Sie am einfachsten über die Cookie-Einstellungen.

Widerspruchsrecht nach Art. 21 DSGVO: Verarbeiten wir Ihre Daten auf Grundlage eines berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO), können Sie dieser Verarbeitung aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Eine formlose Nachricht an info@dreamify-smile.de genügt.

Beschwerden richten Sie an die zuständige Aufsichtsbehörde:

Informationen werden unentgeltlich erteilt (Art. 12 DSGVO).

12. Hosting / CDN (Vercel)

Unsere Website wird bei der Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA, gehostet (Edge-Network mit EU-Rechenzentren, u. a. Frankfurt FRA1). Vercel verarbeitet in unserem Auftrag (Art. 28 DSGVO) Meta-, Kommunikations- und Nutzungsdaten zur Bereitstellung der Website. Drittlandübermittlungen in die USA erfolgen auf Basis der vom Anbieter eingesetzten Rechtsinstrumente (EU-US Data Privacy Framework und/oder EU-Standardvertragsklauseln).

13. Soziale Medien (Unternehmensseiten)

Wir unterhalten ggf. Auftritte bei sozialen Netzwerken (z. B. Facebook/Instagram/TikTok). Für deren Datenverarbeitung gelten die Datenschutzhinweise der jeweiligen Anbieter. Unsere Rechtsgrundlage ist berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Zu Werbemessung und eingebetteten Videos auf dieser Website siehe Ziffern 6 und 7.

14. Änderungen

Wir passen diese Datenschutzerklärung bei Bedarf an; maßgeblich ist die jeweils aktuelle Fassung auf dieser Seite.

Datenschutzanfragen: info@dreamify-smile.de · 0221 / 700 937 11