Datenschutzerklärung

Oxygeni Hair GmbH, Wiedner Hauptstraße 134/136, 1050 Wien
Fassung 1.9 · Stand 6. Oktober 2026 · gültig ab 6. Oktober 2026

Inhalt§

1. Verantwortlicher und Kontakt für Datenschutzanfragen
2. Geltungsbereich dieser Erklärung
3. Grundsätze: worauf wir uns stützen
4. Übersicht: welche Verarbeitungen auf dieser Website stattfinden
5. Aufruf und Betrieb der Website
6. Die KI-Chat-Assistentin
7. Terminbuchung, Kundenkartei und Behandlungshistorie
8. Bestätigungs- und Erinnerungs-E-Mails
9. Kartenausschnitt und Anfahrt – ohne Übermittlung an Dritte
10. Team-Fotos auf der Seite „Über uns“
11. Cookies und Speicherung in Ihrem Browser
12. Kontaktaufnahme per E-Mail und Telefon
13. Abmeldung vom Newsletter über einen persönlichen Link
14. Vorher/Nachher-Fotos unserer Gäste
15. Bewertungen und Erfahrungsberichte
16. Links zu externen Angeboten
17. Begleitpersonen bei Paar- und Gruppenbuchungen (Information nach Art 14 DSGVO)
18. Übersicht der Empfänger
19. Übermittlung in Drittländer und die dafür bestehenden Garantien
20. Speicher- und Löschfristen im Überblick
21. Sicherheit Ihrer Daten (Art 32 DSGVO)
22. Ihre Rechte
23. Änderungen dieser Datenschutzerklärung

---

1. Verantwortlicher und Kontakt für Datenschutzanfragen§

Verantwortlicher im Sinne des Art 4 Z 7 der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, im Folgenden DSGVO) für die Datenverarbeitung auf dieser Website ist:

Oxygeni Hair GmbH Wiedner Hauptstraße 134/136, 1050 Wien, Österreich Firmenbuchnummer: FN 537122 k, Firmenbuchgericht: Handelsgericht Wien Geschäftsführer: Peter Nemeth Telefon: +43 664 75049038 E-Mail: info@oxygenihair.at Salon/Marke: Oxygeni Hair Spa Wien

Weitere Angaben zum Unternehmen finden Sie im Impressum.

Ansprechstelle für alle Fragen zum Datenschutz und für die Ausübung Ihrer Rechte: info@oxygenihair.at, Betreff „Datenschutz“, oder telefonisch unter +43 664 75049038.

Ein Datenschutzbeauftragter ist nicht bestellt. Die Voraussetzungen des Art 37 Abs 1 DSGVO liegen nach unserer dokumentierten Prüfung nicht vor: Unsere Kerntätigkeit ist die Erbringung von Friseur- und Kosmetikdienstleistungen und nicht die Datenverarbeitung; eine umfangreiche regelmäßige und systematische Überwachung betroffener Personen findet nicht statt. Wir nennen Ihnen daher bewusst keine Person als „Datenschutzbeauftragte“, sondern die oben genannte Ansprechstelle.

---

2. Geltungsbereich dieser Erklärung§

Diese Erklärung gilt für die Website https://hairspawien.at mit allen öffentlich zugänglichen Unterseiten sowie für die KI-Chat-Assistentin, die auf jeder dieser Seiten eingeblendet wird.

Profile in sozialen Netzwerken verlinken wir auf dieser Website nicht, und Social-Media-Plugins sind ebenfalls nicht eingebunden. Für die externen Angebote, auf die wir tatsächlich verlinken, gilt Abschnitt 16: Sobald Sie einem solchen Link folgen, gelten die Datenschutzbestimmungen des jeweiligen Anbieters.

Anders liegt es bei der Buchungs- und Gutscheinseite von Phorest: Diese Seiten werden zwar unter einer fremden Adresse betrieben, Phorest verarbeitet die dort eingegebenen Angaben aber in unserem Auftrag (Abschnitt 7). Für Ihre Termin- und Gutscheindaten gilt deshalb diese Erklärung – auch dann, wenn Sie dort und nicht bei uns buchen.

---

3. Grundsätze: worauf wir uns stützen§

Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage nach Art 6 Abs 1 DSGVO. Auf dieser Website kommen vier davon vor:

Für Gesundheitsdaten (Art 9 DSGVO) reichen diese Grundlagen nicht aus. Dafür wäre zusätzlich Ihre ausdrückliche Einwilligung nach Art 9 Abs 2 lit a DSGVO erforderlich. Wir haben uns deshalb dafür entschieden, Gesundheitsangaben auf dieser Website und im Chat gar nicht zu erheben – Näheres in Abschnitt 6.7.

Zusätzlich gilt für das Speichern von Informationen in Ihrem Endgerät und den Zugriff darauf § 165 Abs 3 des Telekommunikationsgesetzes 2021 (TKG 2021). Danach informieren wir Sie darüber, welche Daten wir verarbeiten, auf welcher Rechtsgrundlage, zu welchem Zweck und wie lange wir sie speichern (Abschnitt 11, siehe auch die Cookie-Informationen).

---

4. Übersicht: welche Verarbeitungen auf dieser Website stattfinden§

Auf dieser Website findet ausdrücklich nicht statt: kein seitenübergreifendes Besucher-Tracking über die in Abschnitt 11.2 beschriebenen Google-Dienste hinaus, keine Profilbildung zu Werbe- oder Bewertungszwecken (zur Wiedererkennung als wiederkehrender Gast siehe Abschnitt 6.5), keine Social-Media-Plugins, keine Zahlungsabwicklung, kein Warenverkauf und kein Newsletter-Anmeldeformular. Auch eine eingebettete Karte eines Drittanbieters gibt es nicht – der Kartenausschnitt ist ein eigenes Bild (Abschnitt 9). Ausgewertet wird allerdings, an welcher Stelle des Buchungsablaufs Gespräche abgebrochen werden (Abschnitt 6.12). Die Schriftarten liefern wir selbst aus; eine Verbindung zu einem Schriftartendienst besteht dabei nicht. Der Google Tag Manager lädt bereits ohne Ihre Zustimmung (Abschnitt 11.2); ohne Zustimmung setzt er aber keine Cookies, vergibt keine Kennung und wertet nichts aus. Das einzige Cookie ohne Zustimmung ist der Sitzungsschlüssel des Chats, den unsere eigene Anwendung erst setzt, wenn Sie der Assistentin eine Nachricht schicken (Abschnitt 11).

---

5. Aufruf und Betrieb der Website§

Zweck. Damit wir Ihnen diese Website anzeigen können, muss Ihr Browser eine Verbindung zu unserem Server herstellen. Der Server protokolliert diese Zugriffe, um den Betrieb sicherzustellen, Fehler zu finden und Angriffe abzuwehren.

Über denselben Server zeigen wir Ihnen die aktuellen Preise und Aktionen an, betreiben die Chat-Assistentin (Abschnitt 6) und nehmen Ihre Abmeldung vom Newsletter entgegen (Abschnitt 13).

Datenkategorien. Beim Aufruf einer Seite: IP-Adresse, Datum und Uhrzeit des Zugriffs, die aufgerufene Seite, die übertragene Datenmenge, die Meldung über den Erfolg des Abrufs, die zuvor besuchte Seite sowie Browser und Betriebssystem Ihres Geräts. Hinzu kommen die Angaben, die Sie selbst machen – insbesondere Ihre Chatnachrichten und Buchungsangaben (Abschnitt 6) und die zur Newsletter-Abmeldung nötigen Daten (Abschnitt 13). Preise und Aktionen zeigen wir ohne Personenbezug an.

Rechtsgrundlage. Art 6 Abs 1 lit b DSGVO, soweit es um die Anbahnung und Durchführung Ihrer Terminbuchung geht; im Übrigen Art 6 Abs 1 lit f DSGVO. Unser berechtigtes Interesse ist der sichere, stabile und störungsfreie Betrieb der Website und die Abwehr missbräuchlicher Zugriffe. Ergänzend informieren wir Sie hiermit nach § 165 Abs 3 TKG 2021.

Empfänger. Den technischen Betrieb der Website und der dahinterliegenden Anwendung hat in unserem Auftrag die

Syltron KFT, Sport utca 3, 2836 Baj, Ungarn

als Auftragsverarbeiterin übernommen. Sie ist an unsere Weisungen gebunden; die Einzelheiten regelt ein Vertrag über die Auftragsverarbeitung nach Art 28 DSGVO. Der Betrieb ist technisch zweigeteilt:

• Die Anwendung – die Chat-Assistentin und die zugehörige Datenbank – läuft auf einem Server, den die Syltron KFT selbst betreibt. Die Verarbeitung findet in Ungarn statt.
• Die Auslieferung der öffentlich abrufbaren Seiten erfolgt über die Hostinger International Ltd, 61 Lordou Vironos Street, 6023 Larnaca, Zypern. Die Syltron KFT setzt sie hierfür als Unterauftragsverarbeiterin nach Art 28 Abs 4 DSGVO ein; die dabei genutzten Rechenzentren stehen innerhalb der Europäischen Union.

Beide Verarbeitungsorte liegen damit innerhalb der Europäischen Union. Setzt die Syltron KFT im Einzelfall weitere Dienstleister ein, bindet sie diese in gleicher Weise; eine aktuelle Liste stellen wir Ihnen auf Anfrage zur Verfügung – formlos an info@oxygenihair.at.

Drittlandtransfer. Für den Betrieb der Website und der Anwendung selbst findet keine Übermittlung in ein Drittland statt. Der Anwendung ist eine Schicht zur Verschlüsselung der Verbindung und zur Abwehr von Überlastungs- und Missbrauchsangriffen vorgeschaltet, die die Syltron KFT einsetzt; deren Anbieterin hat ihren Sitz in den Vereinigten Staaten von Amerika und verfügt über ein weltweites Servernetz, sodass eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums insoweit nicht ausgeschlossen ist (Abschnitte 18 und 19). Für den Versand unserer E-Mails setzen wir einen gesonderten Dienstleister ein, der in den Vereinigten Staaten von Amerika verarbeitet; dazu Abschnitt 8 und Abschnitt 19. Ein weiterer Fall sind die Google-Analyse-/Werbe-Bausteine, die erst nach Ihrer Zustimmung nachgeladen werden (der Tag Manager selbst lädt sofort); dazu Abschnitt 11.2 und Abschnitt 19.

Speicherdauer. Die Zugriffsprotokolle löschen wir 30 Tage nach dem Zugriff. Länger bewahren wir einzelne Einträge nur auf, wenn sie zur Aufklärung eines konkreten Sicherheitsvorfalls erforderlich sind; das halten wir in einem Aktenvermerk fest. Für alle übrigen Daten gelten die Fristen in Abschnitt 20.

Erforderlichkeit. Ohne Übertragung Ihrer IP-Adresse kann Ihnen kein Server eine Website anzeigen; diese Verarbeitung ist technisch unvermeidbar. Eine Pflicht, uns Daten bereitzustellen, trifft Sie nicht – Sie können die Website jederzeit verlassen.

---

6. Die KI-Chat-Assistentin§

Die Chat-Assistentin ist die umfangreichste Verarbeitung auf dieser Website. Bitte lesen Sie diesen Abschnitt, bevor Sie den Chat benutzen. Ergänzende Hinweise zur Funktionsweise finden Sie unter
KI-Assistentin.

6.1 Was die Assistentin ist – und was sie nicht ist§

Auf jeder öffentlichen Seite dieser Website steht Ihnen eine automatisierte Chat-Assistentin zur Verfügung. Sie ist in drei Sprachen (Deutsch, Ungarisch, Englisch) verfügbar.

Sie schreiben mit einem KI-System, nicht mit einem Menschen. Die Assistentin beruht auf großen Sprachmodellen. Sie handelt im Auftrag der Oxygeni Hair GmbH, Wiedner Hauptstraße 134/136, 1050 Wien.

Diesen Hinweis geben wir Ihnen bereits im Chatfenster selbst, bevor Sie die erste Nachricht schreiben. Wir nehmen die Assistentin unter unserem eigenen Namen in Betrieb und sind damit Anbieterin im Sinne des Art 3 Nr 3 der Verordnung (EU) 2024/1689 über künstliche Intelligenz (KI-Verordnung), die seit 2. August 2026 anwendbar ist. Der Hinweis erfüllt die Transparenzpflicht des Art 50 Abs 1 KI-Verordnung; bereitgestellt wird er Ihnen nach Art 50 Abs 5 KI-Verordnung spätestens zum Zeitpunkt der ersten Interaktion.

Antworten können falsch sein. KI-Systeme erzeugen den aus statistischer Sicht wahrscheinlichsten Text – nicht notwendigerweise den sachlich richtigen. Angaben zu Preisen, Dauer und Verfügbarkeiten können daher fehlerhaft sein. Wenn Ihnen etwas seltsam vorkommt, rufen Sie uns bitte an. Die Assistentin erteilt keine medizinische Beratung und stellt keine Diagnosen.

Das ist kein Haftungsausschluss. Die Assistentin handelt in unserem Auftrag; ihre Erklärungen sind uns zuzurechnen. Wann ein Termin verbindlich zustande kommt und welcher Preis gilt, regeln unsere Allgemeinen Geschäftsbedingungen. Ihre gesetzlichen Rechte – insbesondere wegen Irrtums und aus Gewährleistung sowie Ihr Rücktrittsrecht nach dem Fern- und Auswärtsgeschäfte-Gesetz – bleiben davon unberührt.

Wenn Sie lieber mit einem Menschen sprechen: +43 664 75049038 oder info@oxygenihair.at.

6.2 Welche Daten wir im Chat verarbeiten§

• Inhalt des Gesprächs: Ihre Nachrichten im Volltext und die Antworten der Assistentin.
• Angaben für die Buchung: Vor- und Nachname, E-Mail-Adresse, Telefonnummer, gewünschte Behandlung, Wunschtermin, gegebenenfalls Wunsch nach einer bestimmten Mitarbeiterin oder einem bestimmten Mitarbeiter sowie Angaben zu Begleitpersonen bei Paar- und Gruppenbuchungen (dazu Abschnitt 17).
• Technische Daten: IP-Adresse, Zeitpunkt der Nachrichten, gewählte Sprache, der Zwischenstand Ihrer Buchung und die Kennung der Gast-Sitzung, die unsere Anwendung für Ihren Browser anlegt (Abschnitt 6.9).
• Frühere Termine bei uns, wenn wir Sie anhand Ihrer E-Mail-Adresse oder Telefonnummer als wiederkehrenden Gast in unserem Terminsystem erkennen (dazu Abschnitt 6.5).
• Gespeicherte Beratungsantworten: Stellen Sie eine allgemeine Beratungsfrage, bewahren wir den Wortlaut Ihrer Frage und die darauf erteilte Antwort auf. Wird dieselbe oder eine sinngleiche Frage später erneut gestellt, können wir sie damit schneller beantworten. Bei Fragen zu Preisen und Aktionen tun wir das nicht. Schreiben Sie in eine solche Frage personenbezogene Angaben, werden auch diese mitgespeichert.

Der Wortlaut Ihrer Nachrichten und unserer Antworten wird also gespeichert – auch dazu, um künftige Antworten zu verbessern und zu beschleunigen. Gespeichert wird auf unserem Server (Abschnitt 5).

6.3 Zwecke und Rechtsgrundlagen im Einzelnen§

Gegen alle auf Art 6 Abs 1 lit f DSGVO gestützten Verarbeitungen können Sie jederzeit Widerspruch einlegen (Art 21 DSGVO, siehe Abschnitt 22).

6.4 Übermittlung Ihrer Chatinhalte an OpenAI§

Um Ihre Nachrichten zu verstehen und zu beantworten, übermitteln wir den Inhalt des Gesprächs – bei Beratungsfragen auch den Wortlaut Ihrer Frage (Abschnitt 6.2) – an

OpenAI Ireland Ltd., 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland

Zum Einsatz kommen dabei Sprachmodelle von OpenAI. OpenAI Ireland Ltd. ist für uns Auftragsverarbeiter im Sinne des Art 28 DSGVO: Wir bestimmen Zweck und Mittel der Verarbeitung, OpenAI verarbeitet ausschließlich auf unsere Weisung.

Kein Training mit Ihren Daten. Wir haben mit OpenAI vereinbart, dass die übermittelten Inhalte nicht zum Training der Modelle von OpenAI verwendet werden.

Speicherung bei OpenAI. OpenAI speichert die übermittelten Inhalte und die darauf erteilten Antworten nach eigenen Angaben standardmäßig bis zu 30 Tage, um den Dienst zu erbringen und Missbrauch zu erkennen, und löscht sie danach.

Drittlandtransfer. Soweit OpenAI Ireland Ltd. zur Erbringung des Dienstes Daten an Konzernunternehmen in den Vereinigten Staaten von Amerika weiterübermittelt, erfolgt dies auf Grundlage der Standardvertragsklauseln der Europäischen Kommission (Art 46 Abs 2 lit c DSGVO), die Bestandteil des Auftragsverarbeitungsvertrags (Data Processing Addendum) von OpenAI sind. Die OpenAI, L.L.C. ist daneben unter dem EU-U.S. Data Privacy Framework zertifiziert; wir stützen die Übermittlung gleichwohl auf die Standardvertragsklauseln. Eine Kopie der Garantien erhalten Sie auf Anfrage unter info@oxygenihair.at. Näheres zum Drittlandtransfer und zum aktuellen Rechtsstand finden Sie in Abschnitt 19.

6.5 Wiedererkennung wiederkehrender Gäste§

Wenn Sie im Chat Ihre E-Mail-Adresse nennen, gleicht die Assistentin diese mit unserer Kundenkartei im Terminsystem Phorest ab. Erkennt sie Sie wieder, spricht sie Sie namentlich an und kann Ihnen Ihre bisher gebuchten Behandlungen („wie gewohnt“) vorschlagen.

• Rechtsgrundlage: Art 6 Abs 1 lit f DSGVO. Unser berechtigtes Interesse ist eine effiziente, persönliche Terminvereinbarung, bei der Sie Ihre Daten nicht erneut eingeben müssen.
• Datenkategorien: E-Mail-Adresse als Suchschlüssel, Name, bisherige Behandlungen und Termine, bevorzugte Mitarbeiterin bzw. bevorzugter Mitarbeiter.
• Herkunft der Daten: aus unserer eigenen Kundenkartei – also auch aus Terminen, die Sie telefonisch oder persönlich im Salon vereinbart haben.
• Diese Auswertung ist Profiling im Sinne des Art 4 Z 4 DSGVO. Sie ist jedoch mit keiner Entscheidung verbunden, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt.
• Sie können dem jederzeit widersprechen (Art 21 Abs 1 DSGVO) – formlos an info@oxygenihair.at. Danach behandelt die Assistentin Sie wie einen neuen Gast.

6.6 IP-Adressen und Begrenzung der Anfragenzahl§

Um zu verhindern, dass die Assistentin durch automatisierte Massenanfragen missbraucht oder überlastet wird, begrenzen wir die Zahl der Anfragen. Dafür speichern wir zu jeder Anfrage die IP-Adresse, die Kennung des Gesprächs, den Zeitpunkt und die Zahl der bisherigen Anfragen. Daneben führen wir Tageszähler – eine Obergrenze für Buchungen je Besucher und ein Tagesbudget für den gesamten Dienst. In ihnen steht die IP-Adresse nicht im Klartext, sondern nur als gesalzener SHA-256-Hashwert.

• Rechtsgrundlage: Art 6 Abs 1 lit f DSGVO. Unser berechtigtes Interesse ist der sichere und verfügbare Betrieb des Dienstes und der Schutz vor Missbrauch (Erwägungsgrund 49 DSGVO).
• Speicherdauer: zehn Minuten für die Zähler der Anfragenbegrenzung. Nach Ablauf dieser Zeit entfernt sie eine automatische Aufräumroutine; das geschieht üblicherweise unmittelbar danach, bei sehr geringem Aufkommen auf der Website erst mit einem der nächsten Aufräumläufe. Die Tageszähler bewahren wir zwei Tage auf. Nur wenn ein konkreter Sicherheitsvorfall aufzuklären ist, bewahren wir einzelne Einträge bewusst länger auf und halten das in einem Aktenvermerk fest.
• Die IP-Adresse wird nicht dazu verwendet, Sie über mehrere Besuche hinweg wiederzuerkennen, und sie wird nicht mit Ihren Buchungsdaten zusammengeführt.

6.7 Gesundheitsbezogene Angaben – bitte nicht im Chat§

Angaben zu Kopfhauterkrankungen, Allergien und Unverträglichkeiten, Haarausfall, Medikamenteneinnahme oder einer Schwangerschaft sind Gesundheitsdaten und damit besondere Kategorien personenbezogener Daten nach Art 9 Abs 1 DSGVO. Ihre Verarbeitung ist grundsätzlich untersagt. Der Gerichtshof der Europäischen Union legt den Begriff sehr weit aus: Es genügt, dass sich aus den Angaben durch gedankliche Kombination oder Ableitung auf den Gesundheitszustand schließen lässt.

Wir haben uns deshalb bewusst für Datenvermeidung statt für Einwilligungstexte entschieden:

Bitte teilen Sie uns gesundheitsbezogene Angaben nicht im Chat mit. Die Assistentin fragt nicht danach. Besprechen Sie solche Themen bitte persönlich im Salon oder telefonisch unter +43 664 75049038.

Sollten Sie dennoch derartige Angaben machen, verarbeiten wir sie ausschließlich, um Ihre Nachricht zu beantworten und Sie an das persönliche Gespräch zu verweisen. Sie stehen damit in Ihrem Chatverlauf, für den die in Abschnitt 20 genannte Frist gilt; die automatische Löschroutine dafür ist derzeit noch nicht in Betrieb, sodass wir solche Angaben bis zu ihrer Inbetriebnahme auf Anforderung löschen (Abschnitt 6.10). Sie können ihre Löschung jederzeit verlangen (Abschnitt 22); wir führen sie dann unverzüglich durch.

Beschreiben Sie ein Anliegen wie trockene Kopfhaut, Schuppen oder Stress, kann Ihnen die Assistentin daraufhin eine Behandlung aus unserem Angebot vorschlagen. Das ist eine Angebotsinformation und weder eine Diagnose noch eine Heilaussage; eine ärztliche Abklärung ersetzt sie nicht. Eine darüber hinausgehende Verarbeitung – insbesondere die Aufnahme solcher Angaben in Ihre Kundenkartei oder ihre Verwendung für die Durchführung der Behandlung – erfolgt nur auf Grundlage Ihrer ausdrücklichen Einwilligung nach Art 9 Abs 2 lit a DSGVO, die wir gesondert und getrennt von allen anderen Erklärungen einholen und die Sie jederzeit mit Wirkung für die Zukunft widerrufen können (Art 7 Abs 3 DSGVO).

6.8 Automatisierte Terminbuchung und Art 22 DSGVO§

Die Logik in verständlicher Form (Art 13 Abs 2 lit f DSGVO): Die Assistentin ermittelt aus Ihren Angaben die gewünschte Behandlung und deren Dauer, fragt die freien Zeiten der dafür qualifizierten Mitarbeiterinnen und Mitarbeiter in unserem Terminsystem ab, gleicht diese mit bereits vergebenen Terminen und Abwesenheiten ab und schlägt Ihnen daraus passende Termine vor. Bestätigen Sie einen Vorschlag und geben Sie Ihre Kontaktdaten an, legt die Assistentin den Termin selbsttätig in unserem Terminsystem an.

Tragweite und Auswirkungen: Die Verarbeitung entscheidet darüber, welche Termine Ihnen angeboten und welche angelegt werden. Sie hat keine über die Terminvereinbarung hinausgehenden Folgen; sie führt zu keiner Bewertung Ihrer Person, keiner Bonitätsprüfung und keiner Benachteiligung.

Einordnung: Eine ausschließlich automatisierte Entscheidung, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt (Art 22 Abs 1 DSGVO), ist damit nach unserer Einschätzung nicht verbunden. Soweit man dies anders sieht, stützen wir die Verarbeitung auf Art 22 Abs 2 lit a DSGVO (Erforderlichkeit für den Abschluss des Vertrags) und gewähren Ihnen die Garantien des Art 22 Abs 3 DSGVO:

Sie haben jederzeit das Recht, das Eingreifen einer Mitarbeiterin oder eines Mitarbeiters zu verlangen, Ihren eigenen Standpunkt darzulegen und eine automatisiert getroffene Entscheidung anzufechten – telefonisch unter +43 664 75049038 oder per E-Mail an info@oxygenihair.at. Ein Mensch prüft Ihre Terminanfrage dann erneut.

Automatisierte Entscheidungen auf Grundlage besonderer Kategorien personenbezogener Daten (Art 22 Abs 4 DSGVO) treffen wir nicht. Ein Behandlungsvorschlag, den die Assistentin auf ein von Ihnen beschriebenes Anliegen hin macht (Abschnitt 6.7), ist eine Angebotsinformation und keine Entscheidung im Sinne des Art 22 Abs 1 DSGVO: Ob Sie ihn annehmen, entscheiden Sie, und die Behandlung selbst wird vor Ort mit einer Mitarbeiterin oder einem Mitarbeiter besprochen.

6.9 Zugriff auf Ihren Chatverlauf§

Ihr Chatverlauf wird unter einer Kennung des Gesprächs gespeichert. Ein Benutzerkonto mit Namen, E-Mail-Adresse oder Passwort gibt es dafür nicht, und Sie müssen sich nicht anmelden. Damit die Antworten der Assistentin nur in Ihrem Browser ankommen, legt unsere Anwendung jedoch beim Absenden Ihrer ersten Nachricht eine Gast-Sitzung für Ihren Browser an: Der Server vergibt eine zufällige Sitzungskennung und hinterlegt den zugehörigen Schlüssel in Ihrem Browser – als Cookie a_session_<Projekt-ID> unter der Adresse des Anwendungsservers und als Kopie im lokalen Speicher (Abschnitt 11.1). Das Gespräch wird auf dem Server so abgelegt, dass nur diese Gast-Sitzung es abrufen darf. Die Sitzungskennung enthält keine Angaben zu Ihrer Person, wird nicht mit anderen Diensten verknüpft und verfällt ein Jahr nach ihrer Anlage; die zugehörige Gastkennung (das anonyme Gastkonto auf dem Server) löschen wir 90 Tage nach der letzten Nutzung (Abschnitt 6.10).

Bitte beachten Sie: Der Zugriff auf einen Chatverlauf ist nicht durch ein Passwort geschützt, sondern nur durch den Sitzungsschlüssel in Ihrem Browser. Wir können daher nicht ausschließen, dass Dritte, die Ihren Browser benutzen, Kenntnis von einem Gespräch erlangen. Wir treffen die nach Art 32 DSGVO angemessenen technischen und organisatorischen Maßnahmen, um Ihre Daten zu schützen (Abschnitt 21); ein darüber hinausgehender Schutz besteht nicht. Geben Sie im Chat deshalb bitte nur Angaben ein, die für die Terminvereinbarung nötig sind, und keine Gesundheitsdaten (Abschnitt 6.7). Auf einem gemeinsam genutzten Gerät schließen Sie das Chatfenster bitte, bevor Sie es weiterreichen, und wählen Sie darin „Neue Unterhaltung“: Das laufende Gespräch ist am Bildschirm sichtbar und bleibt bis zu 120 Minuten im Sitzungsspeicher des Tabs (Abschnitt 11.1).

Auch deshalb bemessen wir die Speicherfristen kurz (Abschnitt 6.10) und bitten Sie, keine Gesundheitsdaten einzugeben (Abschnitt 6.7).

6.10 Speicherdauer im Chat§

Für Chatverläufe besteht keine gesetzliche Aufbewahrungspflicht. Steuerliche Aufbewahrungsfristen gelten für Belege und Buchhaltungsunterlagen, nicht für Gesprächsprotokolle.

Diese Fristen legen fest, wie lange wir die genannten Daten längstens benötigen; zu ihnen verpflichten wir uns. Die gespeicherten Beratungsantworten und die Angaben zur Missbrauchsabwehr entfernt unsere Anwendung nach Ablauf der Frist selbst. Die automatische Löschroutine für Chatverläufe und für den Zwischenstand einer Buchung ist derzeit noch nicht in Betrieb; bis zu ihrer Inbetriebnahme löschen wir diese Daten auf Anforderung. Sie können die Löschung Ihres Chatverlaufs jederzeit verlangen (Abschnitt 22); wir führen sie dann unverzüglich durch.

6.11 Freiwilligkeit und Mindestalter§

Die Benutzung des Chats ist vollständig freiwillig. Sie können jeden Termin ebenso telefonisch, persönlich im Salon oder über die externe Buchungsseite von Phorest vereinbaren. Wenn Sie einen Termin über den Chat buchen möchten, sind Name, E-Mail-Adresse und Telefonnummer allerdings erforderlich: Ohne diese Angaben können wir den Termin nicht reservieren und Sie nicht erreichen, falls sich etwas ändert.

Die Assistentin richtet sich an Personen ab 16 Jahren. Jüngere Personen bitten wir, Termine gemeinsam mit einer erziehungsberechtigten Person telefonisch oder im Salon zu vereinbaren. Diese Altersgrenze setzen wir selbst – sie dient dem Schutz Minderjähriger und der Frage, wer einen Behandlungstermin wirksam vereinbaren kann.

Die Verarbeitung im Chat stützt sich nicht auf eine Einwilligung, sondern auf Art 6 Abs 1 lit b und lit f DSGVO; auf die Altersgrenze des Art 8 Abs 1 DSGVO für die Einwilligung eines Kindes in Dienste der Informationsgesellschaft kommt es hier daher nicht an.

6.12 Auswertung von Gesprächen zur Verbesserung der Assistentin und des Buchungsablaufs§

Damit die Assistentin besser wird, werten wir in regelmäßigen Abständen Ausschnitte aus Gesprächen der letzten Tage aus. Ziel ist herauszufinden, welche Fragen die Assistentin nicht gut beantworten konnte, und daraus Ergänzungen für ihre Wissensbasis vorzuschlagen. Jeder Vorschlag wird von einem Menschen geprüft, bevor er übernommen wird.

• Datenkategorien: Ausschnitte des Gesprächsverlaufs – also auch Angaben, die Sie selbst in den Chat geschrieben haben.
• Empfänger: Für die Auswertung übermitteln wir diese Ausschnitte an OpenAI (Abschnitt 6.4). Nach der mit OpenAI getroffenen Vereinbarung findet dabei kein Training der Modelle von OpenAI mit Ihren Daten statt; die Auswertung erzeugt nur einen Textvorschlag für unsere eigene Wissensbasis.
• Rechtsgrundlage: Art 6 Abs 1 lit f DSGVO. Unser berechtigtes Interesse ist die Verbesserung der Qualität und Verlässlichkeit unserer Beratung.
• Speicherdauer: Die Ausschnitte werden nicht gesondert gespeichert; für die zugrunde liegenden Gespräche gelten die Fristen aus Abschnitt 6.10. Ein angenommener Vorschlag wird als allgemein formulierter Wissensbaustein ohne Personenbezug gespeichert.
• Sie können dem jederzeit widersprechen (Art 21 Abs 1 DSGVO) – formlos an info@oxygenihair.at.

Auswertung abgebrochener Gespräche. In unserem Verwaltungsbereich werten wir außerdem aus, an welcher Stelle des Buchungsablaufs Gespräche abgebrochen werden. Dabei sehen wir auch Textproben aus abgebrochenen Gesprächen, insbesondere die jeweils letzte Antwort der Assistentin. Rechtsgrundlage ist Art 6 Abs 1 lit f DSGVO; unser berechtigtes Interesse ist es, Hürden im Buchungsablauf zu erkennen und zu beseitigen. Diese Auswertung nehmen wir selbst vor; die Ausschnitte werden dafür weder an Dritte übermittelt noch gesondert gespeichert. Auch dieser Verarbeitung können Sie jederzeit widersprechen (Art 21 Abs 1 DSGVO).

---

7. Terminbuchung, Kundenkartei und Behandlungshistorie§

Zweck. Vereinbarung, Verwaltung, Erinnerung und Abrechnung Ihres Termins sowie die Führung unserer Kundenkartei und Ihrer Behandlungshistorie. Auf dieses System greift auch die Chat-Assistentin zu (Abschnitt 6).

Datenkategorien. Vor- und Nachname, E-Mail-Adresse, Telefonnummer, gewünschte und durchgeführte Behandlungen, Termine, zugeteilte Mitarbeiterin bzw. zugeteilter Mitarbeiter, Behandlungshistorie sowie – bei anzahlungspflichtigen Behandlungen – der Zahlungsstatus.

Abgleich für die Verfügbarkeitsprüfung. Damit die Chat-Assistentin freie Zeiten verlässlich und ohne Verzögerung prüfen kann, übernehmen wir den Terminkalender stündlich auf unseren eigenen Server (Abschnitt 5). Übernommen werden je Termin die Leistung, das Datum, die Uhrzeit, die Dauer und der Status sowie die Angabe, welche Mitarbeiterin oder welcher Mitarbeiter den Termin übernimmt. Namen, E-Mail-Adressen und Telefonnummern werden dabei nicht übertragen; der Bezug zu Ihrer Person bleibt über das Terminsystem allerdings herstellbar, weshalb wir auch diese Daten als personenbezogen behandeln. Rechtsgrundlage ist Art 6 Abs 1 lit b DSGVO, ergänzend Art 6 Abs 1 lit f DSGVO; unser berechtigtes Interesse ist eine verlässliche Verfügbarkeitsprüfung, ohne das Terminsystem bei jeder einzelnen Anfrage abzufragen.

Rechtsgrundlage. Art 6 Abs 1 lit b DSGVO (Erfüllung des Vertrags über die Behandlung bzw. Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage). Für die Aufbewahrung von Rechnungs- und Zahlungsbelegen zusätzlich Art 6 Abs 1 lit c DSGVO (rechtliche Verpflichtung nach § 132 Abs 1 BAO und § 212 Abs 1 UGB). Welche Regeln für Absagen und Nichterscheinen gelten, entnehmen Sie den Stornobedingungen.

Empfänger. Die Salonsoftware wird betrieben von nDevor Systems Ltd T/A Phorest, 66/67 Great Strand Street, Dublin 1, D01 RW84, Irland. Phorest ist für uns Auftragsverarbeiter nach Art 28 DSGVO. Weitere Empfänger sind unsere Steuerberatung im Rahmen der buchhalterischen Pflichten, bei Zahlungen der von Phorest eingesetzte Zahlungsdienstleister sowie die weiteren Dienste, die Phorest für den Betrieb der Salonsoftware einsetzt. Eine aktuelle Liste stellen wir Ihnen auf Anfrage zur Verfügung – formlos an info@oxygenihair.at.

Drittlandtransfer. Nach Angaben des Anbieters werden personenbezogene Daten von Personen aus der Europäischen Union ausschließlich innerhalb der EU gespeichert. Eine Übermittlung in ein Drittland findet insoweit nicht statt.

Speicherdauer.

• Behandlungsbezogene Daten: für die Dauer der Kundenbeziehung und darüber hinaus 3 Jahre (Verjährung von Schadenersatzansprüchen, § 1489 ABGB).
• Rechnungen und Zahlungsbelege: 7 Jahre ab Schluss des Kalenderjahres, auf das sie sich beziehen (§ 132 Abs 1 BAO, § 212 Abs 1 UGB).
• Stammdaten in der Kundenkartei: bis zu Ihrem Widerspruch, längstens bis 3 Jahre nach dem letzten Termin.
• Termindaten, die wir auf unseren eigenen Server übernommen haben: 3 Jahre ab dem Termin.

Erforderlichkeit. Name, E-Mail-Adresse und Telefonnummer sind für die Terminvereinbarung erforderlich. Ohne diese Angaben können wir keinen Termin reservieren und Sie bei Terminänderungen nicht erreichen.

---

8. Bestätigungs- und Erinnerungs-E-Mails§

Zweck. Versand der Terminbestätigung, von Terminerinnerungen und von Nachrichten zu Änderungen oder Absagen Ihres Termins.

Datenkategorien. Name, E-Mail-Adresse, Termindaten (Behandlung, Datum, Uhrzeit, Salon) sowie das Protokoll darüber, ob die Nachricht zugestellt werden konnte.

Rechtsgrundlage. Art 6 Abs 1 lit b DSGVO. Termin-, Änderungs- und Erinnerungsnachrichten sind Teil der Vertragsabwicklung und keine Werbung; Sie erhalten sie nur zu einem konkreten Termin. Auf demselben Weg versenden wir auch unseren Newsletter; dieser beruht auf Ihrer Einwilligung und ist gesondert abbestellbar (Abschnitt 13).

Empfänger. Den technischen Versand dieser E-Mails besorgt in unserem Auftrag die

Plus Five Five, Inc. (Dienst „Resend“), 2261 Market Street #5039, San Francisco, CA 94114, Vereinigte Staaten von Amerika

als Auftragsverarbeiterin. Sie erhält dabei Ihre E-Mail-Adresse, den Absender, den Betreff, den Inhalt der Nachricht und das Protokoll über die Zustellung. Sie ist an unsere Weisungen gebunden; die Einzelheiten regelt ein Vertrag über die Auftragsverarbeitung nach Art 28 DSGVO (das „Data Processing Addendum“ von Resend). Die Syltron KFT (Abschnitt 5) betreibt die Anwendung, aus der der Versand angestoßen wird; den Versand selbst führt sie nicht durch. Das Postfach, in dem Ihre eingehenden Nachrichten an uns liegen, ist davon nochmals zu unterscheiden; dafür gilt Abschnitt 12.

Drittlandtransfer. Resend verarbeitet nach eigener Angabe (Abschnitt 6.1 des genannten Auftragsverarbeitungsvertrags) überwiegend in den Vereinigten Staaten von Amerika. Mit jeder Bestätigungs-, Erinnerungs- oder Änderungsnachricht ist daher eine Übermittlung in ein Drittland verbunden. Wir stützen sie auf die Standardvertragsklauseln der Europäischen Kommission nach Art 46 Abs 2 lit c DSGVO (Durchführungsbeschluss (EU) 2021/914 vom 4. Juni 2021, Modul 2 – Verantwortlicher an Auftragsverarbeiter); sie sind Bestandteil dieses Vertrags (dessen Abschnitt 6.2). Eine Kopie dieser Garantien erhalten Sie auf Anfrage unter info@oxygenihair.at.

Als ergänzende Maßnahmen hat sich Resend uns gegenüber vertraglich verpflichtet (Abschnitt 6.6 des Auftragsverarbeitungsvertrags), Behördenauskunftsersuchen nach Möglichkeit an uns zu verweisen, uns über ein Ersuchen zu unterrichten, soweit dies gesetzlich zulässig ist, und Daten Behörden nicht ohne eine rechtsverbindliche Verpflichtung offenzulegen. Technisch werden die Nachrichten auf dem Transportweg mit TLS und im gespeicherten Zustand verschlüsselt (Anhang C des Vertrags). Resend gibt darüber hinaus an, unter dem EU-U.S. Data Privacy Framework zertifiziert zu sein (Abschnitt 11.1 des Vertrags); wir stützen die Übermittlung gleichwohl auf die Standardvertragsklauseln. Zum Rechtsstand und zum verbleibenden Restrisiko siehe Abschnitt 19.

Speicherdauer. Das Protokoll über die Zustellung bewahren wir nur so lange auf, wie es für den Nachweis der Zustellung und für die Fehlersuche erforderlich ist; danach löschen wir es. Der Nachweis der Terminvereinbarung selbst wird nach den Fristen in Abschnitt 7 aufbewahrt.

Erforderlichkeit. Ohne E-Mail-Adresse können wir Ihnen keine Bestätigung und keine Erinnerung zusenden.

---

9. Kartenausschnitt und Anfahrt – ohne Übermittlung an Dritte§

Zweck. Im Kontaktbereich unserer Startseite zeigen wir einen Kartenausschnitt, damit Sie unseren Standort einordnen und Ihre Anfahrt planen können.

Die Karte ist ein Bild von unserem eigenen Server. Sie wird sofort angezeigt und muss nicht erst freigeschaltet werden. Beim Aufruf wird kein Dienst eines Dritten kontaktiert, keine Verbindung zu Google hergestellt und nichts in Ihrem Browser gespeichert. Eine Einwilligung ist dafür weder erforderlich, noch holen wir eine ein.

Warum wir es so gelöst haben. Eine eingebettete Karte – etwa jene von Google Maps – überträgt schon beim Öffnen der Seite unaufgefordert Ihre IP-Adresse an den Anbieter und speichert Cookies auf Ihrem Gerät. Das wäre nach § 165 Abs 3 TKG 2021 nur mit Ihrer vorherigen Einwilligung zulässig. Statt Sie um diese Einwilligung zu bitten, haben wir die Ursache beseitigt und liefern die Karte selbst aus. Damit entsteht der Zugriff, den eine Einwilligung decken müsste, gar nicht.

Herkunft des Bildes. Der Kartenausschnitt wurde einmalig aus dem freien Kartenmaterial des OpenStreetMap-Projekts erzeugt – vor der Veröffentlichung dieser Website und ohne Beteiligung von Besucherinnen und Besuchern – und liegt seither unverändert auf unserem Server. Bei diesem Vorgang wurden keine personenbezogenen Daten verarbeitet. Die Quellenangabe „Kartendaten © OpenStreetMap-Mitwirkende“ steht unter der Karte, weil die Lizenz des Kartenmaterials sie verlangt.

Datenkategorien. Für die Karte gilt nichts anderes als für jedes andere Bild dieser Website: Ihr Browser lädt eine Datei von demselben Server, von dem er auch die Seite selbst geladen hat. Es gelten deshalb ausschließlich die Angaben in Abschnitt 5 (Aufruf und Betrieb der Website).

Rechtsgrundlage. Art 6 Abs 1 lit f DSGVO. Unser berechtigtes Interesse ist die Bereitstellung unserer Website und die Information über unseren Standort. Eine Einwilligung nach Art 6 Abs 1 lit a DSGVO ist nicht erforderlich, weil kein Dritter eingebunden wird und ein Zugriff auf Ihre Endeinrichtung im Sinne des § 165 Abs 3 TKG 2021 nicht stattfindet.

Empfänger. Keine.

Drittlandtransfer. Findet nicht statt.

Speicherdauer. Wir speichern in diesem Zusammenhang keine Daten über Sie und legen nichts in Ihrem Browser ab.

Der Link zur Routenplanung. Unter der Karte steht der Verweis „Route in Google Maps öffnen“. Er ist ein gewöhnlicher Link: Solange Sie ihn nicht anklicken, geschieht nichts. Klicken Sie ihn an, verlassen Sie unsere Website; von diesem Augenblick an gelten die Datenschutzbestimmungen der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, und Google erhält Ihre IP-Adresse sowie die von Ihnen aufgerufene Adresse. Darauf haben wir keinen Einfluss – Näheres in Abschnitt 16. Ob Sie diesen Schritt gehen, entscheiden ausschließlich Sie.

Erforderlichkeit. Die Karte ist eine Serviceleistung. Unsere Adresse – Wiedner Hauptstraße 134/136, 1050 Wien – steht als Text daneben, sodass Sie uns auch ohne das Bild finden.

---

10. Team-Fotos auf der Seite „Über uns“§

Zweck. Die Fotos unseres Teams stammen aus dem Bilderspeicher unserer Salonsoftware Phorest (Abschnitt 7). So bleiben sie stets aktuell, und wir vermeiden eine doppelte Datenhaltung.

Datenkategorien. Damit Ihr Browser die Bilder anzeigen kann, ruft er sie unmittelbar bei diesem Bilderspeicher ab. Dabei werden Ihre IP-Adresse sowie Angaben zu Browser und Betriebssystem übertragen. Nach unserer Prüfung werden dabei keine Cookies gesetzt und keine Kennungen auf Ihrem Gerät gespeichert.

Rechtsgrundlage. Art 6 Abs 1 lit f DSGVO. Unser berechtigtes Interesse ist die Auslieferung der Teamfotos aus derselben, ohnehin genutzten Quelle wie in unserer Salonsoftware.

Empfänger. Der Bilderspeicher wird von Phorest verwaltet und in dessen Auftrag von Amazon Web Services (AWS) betrieben (Abschnitt 7): Die Fotos liegen in einem Speicherbereich von AWS in der Region eu-west-1, und Ihr Browser ruft sie beim Aufruf der Seite „Über uns“ unmittelbar dort ab. Ihre IP-Adresse sowie die Angaben zu Browser und Betriebssystem gelangen dadurch automatisch zu AWS. Eine Zustimmungsabfrage ist diesem Abruf nicht vorgeschaltet – er läuft, sobald Sie die Seite öffnen. Wir stützen ihn auf Art 6 Abs 1 lit f DSGVO und nicht auf Ihre Einwilligung, weil dabei weder Daten in Ihrem Gerät gespeichert noch aus ihm ausgelesen werden und § 165 Abs 3 TKG 2021 deshalb nicht einschlägig ist.

Drittlandtransfer. Die Bilder werden aus der AWS-Region eu-west-1 (Irland) abgerufen; die Speicherung erfolgt damit innerhalb des Europäischen Wirtschaftsraums. Amazon Web Services gehört einem US-amerikanischen Konzern an. Ob über diese Speicherung in einer EU-Region hinaus eine Übermittlung in ein Drittland stattfindet, ist uns nicht bekannt; maßgeblich sind insoweit die Empfängerübersicht in Abschnitt 18 und die Angaben in Abschnitt 19.

Speicherdauer. Wir speichern in diesem Zusammenhang keine Daten über Sie.

Erforderlichkeit. Die Übertragung Ihrer IP-Adresse ist technisch unvermeidbar, wenn ein Bild von einem anderen Server geladen wird.

---

11. Cookies und Speicherung in Ihrem Browser§

11.1 Zwischenspeicher und Cookie-Entscheidung – ohne Ihre Zustimmung§

Ohne Ihre Zustimmung legt diese Website ausschließlich technisch notwendige Einträge in Ihrem Browser ab. Im lokalen Speicher sind das ein Zwischenspeicher für die Preis- und Aktionsübersicht, ein Vermerk, dass Sie die Gesprächseinladung der KI-Assistentin bereits gesehen haben, und Ihre Cookie-Entscheidung selbst, damit der Banner nicht bei jedem Aufruf erneut erscheint; im Sitzungsspeicher des Tabs sind es der Verlauf Ihres laufenden Chats und gegebenenfalls ein Vermerk, dass Sie den Hinweis auf die Terminbuchung im Chat für diesen Besuch geschlossen haben. Das einzige Cookie ohne Zustimmung ist der Sitzungsschlüssel des Chats. Eine vollständige Übersicht finden Sie unter Cookies.

Der Sitzungsschlüssel des Chats. Sobald Sie der KI-Assistentin die erste Nachricht schicken, legt der Server unserer eigenen Anwendung – betrieben in unserem Auftrag von der Syltron KFT (Abschnitt 5) – eine Gast-Sitzung für Ihren Browser an (Abschnitt 6.9) und setzt unter seiner Adresse oxigeni-appwrite.elephant-serverside.com das Cookie a_session_<Projekt-ID> (die Projekt-ID ist die Kennung unserer Anwendung; ein zweites Cookie mit dem Zusatz _legacy trägt denselben Wert für ältere Browser). Weil manche Browser das Cookie eines anderen Servers als dem der Website blockieren, sendet der Server denselben Schlüssel zusätzlich als Kopie mit, die im lokalen Speicher Ihres Browsers unter dem Eintrag cookieFallback abgelegt wird; die Live-Verbindung, über die die Antworten der Assistentin eintreffen, liest den Schlüssel aus dieser Kopie. Zweck beider Einträge ist ausschließlich, die Antworten der Assistentin nur an Ihren Browser zuzustellen und zu verhindern, dass ein anderer Browser Ihr Gespräch abruft. Sie werden vor Ihrer ersten Nachricht nicht gesetzt, enthalten keine Angaben zu Ihrer Person und werden nicht mit Google oder einem anderen Dienst verknüpft. Das Cookie verfällt ein Jahr nach dem Setzen (Voreinstellung der Anwendung, von uns geprüft); die Kopie im lokalen Speicher bleibt, bis Sie den Browserspeicher löschen, der darin enthaltene Schlüssel verfällt mit der Sitzung. Rechtsgrundlage für die Speicherung im Browser ist § 165 Abs 3 dritter Satz TKG 2021, für die Verarbeitung Art 6 Abs 1 lit b DSGVO (Anbahnung Ihrer Terminbuchung), im Übrigen Art 6 Abs 1 lit f DSGVO; unser berechtigtes Interesse ist die Zustellung der Antworten ausschließlich an den Browser, der die Frage gestellt hat.

Der Verlauf Ihres laufenden Gesprächs. Sobald Sie der KI-Assistentin die erste Nachricht schicken, legt die Website den Wortlaut des Gesprächs – Ihre Nachrichten und die Antworten, samt allen Angaben, die Sie darin machen, etwa Name, Telefonnummer oder E-Mail-Adresse –, die Gesprächskennung und die erkannte Sprache im Sitzungsspeicher Ihres Browsers unter dem Eintrag oxygeni.chat.v1 ab. Der Sitzungsspeicher ist auf den einzelnen Tab beschränkt und wird beim Schließen dieses Tabs vom Browser geleert. Zweck ist allein, dass das Gespräch ein Neuladen der Seite übersteht und Ihre Terminanfrage nicht von vorne beginnen muss; der Eintrag verlässt Ihr Gerät nicht und wird nicht mit Google oder einem anderen Dienst verknüpft. Er verfällt 120 Minuten nach Ihrer letzten Nachricht und wird außerdem gelöscht, sobald Sie den Tab schließen oder im Chatfenster „Neue Unterhaltung“ wählen. Reichen Sie Ihr Gerät weiter, wählen Sie deshalb bitte vorher „Neue Unterhaltung“ oder schließen Sie den Tab; sonst ist das begonnene Gespräch für die nächste Person am Bildschirm sichtbar (Abschnitt 6.9). Rechtsgrundlage für die Speicherung im Browser ist § 165 Abs 3 dritter Satz TKG 2021, für die Verarbeitung Art 6 Abs 1 lit b DSGVO (Anbahnung Ihrer Terminbuchung). Unabhängig davon speichern wir den Gesprächsverlauf auf unserem Server (Abschnitt 5).

Der Zwischenspeicher verkürzt Ladezeiten und verringert die übertragene Datenmenge. Sein Inhalt gilt nach fünf Minuten als veraltet und wird beim nächsten Aufruf ersetzt. Er enthält weder eine Kennung noch personenbezogene Daten.

Diese Einträge sind unbedingt erforderlich, damit wir Ihnen den von Ihnen gewünschten Dienst bereitstellen können; Rechtsgrundlage ist § 165 Abs 3 dritter Satz TKG 2021. Daten werden dabei nicht an Dritte übermittelt und Nutzerprofile nicht gebildet; auch der Sitzungsschlüssel des Chats dient nicht der Wiedererkennung über verschiedene Zwecke hinweg.

Der Kartenausschnitt ist ein eigenes Bild (Abschnitt 9), die Schriftarten liefern wir selbst aus, und der Bilderspeicher, aus dem die Team-Fotos stammen, setzt nach unserer Prüfung keine Cookies (Abschnitt 10) – für all das ist keine Zustimmung erforderlich, weil dabei weder Daten in Ihrem Gerät gespeichert noch aus ihm ausgelesen werden.

Sie können die Speicherung jederzeit über die Einstellungen Ihres Browsers löschen oder unterbinden. Dann werden Preise und Aktionen bei jedem Aufruf neu geladen, und der Cookie-Banner erscheint bei jedem Seitenaufruf erneut. Alle Inhalte der Website bleiben lesbar; die KI-Assistentin kann Ihnen ohne Sitzungsschlüssel jedoch keine Antworten mehr zustellen. Einen Termin können Sie dann weiterhin telefonisch, per E-Mail oder über die Buchungsseite von Phorest vereinbaren (Abschnitt 6.11).

11.2 Google Tag Manager, Google Analytics (GA4) und Google Ads – Tag Manager lädt sofort, GA4/Ads nur mit Ihrer Zustimmung§

Was wir einsetzen. Für die Reichweitenmessung (Google Analytics 4) und die Erfolgsmessung unserer Google-Ads-Anzeigen setzen wir den Google Tag Manager der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, ein (Container-Kennung GTM-N2K3KK53). Eine kompakte Übersicht mit den einzelnen Cookie-Namen finden Sie unter Cookies, Abschnitt 4/5.

Erstverbindung beim Laden der Seite. Der Tag Manager ist ein Ladewerkzeug, kein Mess-Werkzeug, und lädt deshalb nach Googles Standard-Installationsmuster auf jeder Seite sofort – unabhängig von Ihrer Cookie-Entscheidung. Dabei stellt Ihr Browser bereits eine Verbindung zu einem Server von Google her, und Ihre IP-Adresse gelangt zu diesem Zeitpunkt bereits zu Google. Für Browser ohne JavaScript ist zusätzlich ein unsichtbarer Rahmen eingebaut, der denselben Server unabhängig von einer Cookie-Entscheidung aufruft, weil ohne JavaScript weder ein Cookie-Banner angezeigt noch ein Consent-Signal ausgewertet werden kann. Diese Erstverbindung ist rechtlich nicht abschließend geklärt: Eine IP-Übermittlung an einen Google-Server allein durch das Laden einer Ressource kann nach Rechtsprechung zu vergleichbaren Google-Diensten (LG München I, 20.01.2022, 3 O 17493/20, zu Google Fonts) eine Verarbeitung personenbezogener Daten ohne tragfähige Rechtsgrundlage sein, wenn eine Selbsthosting-Alternative besteht; Fachliteratur (u. a. DataGuard, Piwik PRO, 2024) bewertet entsprechende „cookielose“ Erstverbindungen von Consent-Mode-v2-Containern ebenfalls als ungeklärt. Diese Einschätzung legen wir bewusst offen, statt sie zu beschönigen, und lassen sie vor dem produktiven Einsatz des Ads-/GA4-Trackings anwaltlich prüfen (offene Frist 1. Oktober 2026 aus dem Rechts-Audit vom 27. August 2026).

Ohne Ihre Zustimmung setzt der bereits geladene Tag Manager dennoch keine Cookies, vergibt keine Kennung und führt keine Auswertung durch – er lädt insbesondere keinen der eigentlichen Mess-Bausteine (GA4, Google Ads) nach.

So setzt die Website Ihre Entscheidung technisch um. Beim Laden der Seite – noch bevor das Skript des Tag Managers eingebunden wird – legt unser eigener Code für den „Consent Mode“ von Google (Version 2) alle vier Signale – Speicherung für Werbung, Werbedaten, Werbepersonalisierung, Speicherung für Analyse – auf „verweigert“ fest; das ist eine Voreinstellung, die niemanden kontaktiert, aber sicherstellt, dass der unmittelbar danach geladene Tag Manager Ihre Auswahl vom ersten Augenblick an beachtet. Erst wenn Sie im Cookie-Banner der Kategorie „Analyse“ oder „Marketing“ zustimmen, setzt die Website die Signale der gewählten Kategorien auf „erteilt“, und der bereits vorhandene Tag Manager lädt daraufhin die Mess-Bausteine nach. Ist Ihre Zustimmung aus einem früheren Besuch in Ihrem Browser gespeichert, geschieht das beim nächsten Seitenaufruf unmittelbar beim Laden der Seite. Widerrufen Sie, setzt die Website die Signale sofort auf „verweigert“ zurück und speichert diese Entscheidung; das Skript des Tag Managers selbst lädt – wie beim allerersten Seitenaufruf – weiterhin auf jeder Seite, der Widerruf beendet lediglich das Nachladen der Mess-Bausteine.

Mit Ihrer Zustimmung zur Kategorie „Analyse“ verarbeitet Google Analytics 4 Ihre Nutzung dieser Website (aufgerufene Seiten, Verweildauer, technische Gerätedaten) zur Reichweitenmessung. Ihre IP-Adresse wird dabei an Google übertragen. Eine abschaltbare IP-Anonymisierung, wie sie die Vorgängerversion Universal Analytics kannte, gibt es in Google Analytics 4 nicht; Google gibt an, IP-Adressen in Google Analytics 4 nicht zu protokollieren, sondern sie nur zur Ableitung einer groben Ortsangabe zu verwenden und anschließend zu verwerfen. Mit Ihrer Zustimmung zur Kategorie „Marketing“ ordnet Google Ads einen Klick auf eine unserer Anzeigen einer späteren Handlung auf dieser Website zu. Rechtsgrundlage ist ausschließlich Ihre Einwilligung, Art 6 Abs 1 lit a DSGVO iVm § 165 Abs 3 zweiter Satz TKG 2021.

Empfänger. Google Ireland Limited; im Rahmen der Auswertung ist eine Weiterübermittlung an die Muttergesellschaft Google LLC, USA, nicht ausgeschlossen (Abschnitte 18 und 19).

Widerruf. Sie können Ihre Zustimmung jederzeit über den Link „Cookie-Einstellungen“ im Seitenfuß ändern oder mit Wirkung für die Zukunft widerrufen.

---

12. Kontaktaufnahme per E-Mail und Telefon§

Kontaktbereich auf der Startseite. Der Kontaktbereich enthält kein Formular. Ein Klick öffnet Ihr eigenes E-Mail-Programm mit einer vorbereiteten Nachricht. Es findet keine Verarbeitung Ihrer Eingaben auf unserer Website statt – die Nachricht verlässt Ihr Gerät erst, wenn Sie sie in Ihrem eigenen E-Mail-Programm absenden.

Sobald uns Ihre E-Mail erreicht, verarbeiten wir die darin enthaltenen Angaben (Name, E-Mail-Adresse, Inhalt der Nachricht, gegebenenfalls Telefonnummer), um Ihre Anfrage zu beantworten.

• Rechtsgrundlage: Art 6 Abs 1 lit b DSGVO, wenn Ihre Anfrage der Anbahnung oder Abwicklung eines Termins dient; sonst Art 6 Abs 1 lit f DSGVO. Unser berechtigtes Interesse ist die Beantwortung von Anfragen und die Bearbeitung möglicher Anschlussfragen.
• Speicherdauer: 6 Monate ab abschließender Bearbeitung. Führt Ihre Anfrage zu einem Termin, gelten die Fristen aus Abschnitt 7. Geschäftsbriefe im Sinne des § 212 Abs 1 UGB bewahren wir 7 Jahre auf.
• Empfänger: der Anbieter unseres E-Mail-Postfachs als Auftragsverarbeiter nach Art 28 DSGVO. Wen wir dafür einsetzen, teilen wir Ihnen auf Anfrage mit.
• Drittlandtransfer: Soweit dabei außerhalb des Europäischen Wirtschaftsraums verarbeitet wird, stützen wir die Übermittlung auf die Standardvertragsklauseln der Europäischen Kommission (Art 46 Abs 2 lit c DSGVO); Näheres in Abschnitt 19.

Telefonische Kontaktaufnahme. Wenn Sie uns anrufen, verarbeiten wir Ihre Telefonnummer sowie die Angaben, die Sie uns im Gespräch machen, um Ihr Anliegen zu bearbeiten. Rechtsgrundlage: Art 6 Abs 1 lit b bzw. lit f DSGVO. Wir zeichnen Telefonate nicht auf.

Kontaktaufnahme per WhatsApp. Der WhatsApp-Knopf im Kontaktbereich ist ein einfacher Link: Solange Sie ihn nicht anklicken, wird nichts an WhatsApp übermittelt. Erst der Klick öffnet WhatsApp mit einer vorbereiteten Nachricht an unsere Salonnummer. Schreiben Sie uns dort, verarbeiten wir Ihre Telefonnummer, Ihren WhatsApp-Profilnamen und den Inhalt Ihrer Nachrichten, um Ihre Anfrage zu beantworten (Rechtsgrundlage: Art 6 Abs 1 lit b bzw. lit f DSGVO). Anbieterin des Dienstes ist die WhatsApp Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland; sie verarbeitet die dabei anfallenden Daten nach ihren eigenen Datenschutzbestimmungen in eigener Verantwortung, eine Übermittlung an die Muttergesellschaft Meta Platforms, Inc. in den USA ist nicht ausgeschlossen (Abschnitt 19). Die Nutzung ist freiwillig – Sie erreichen uns ebenso per Telefon oder E-Mail.

Erforderlichkeit. Die Kontaktaufnahme ist freiwillig; ohne Angabe einer Rückmeldemöglichkeit können wir Ihnen allerdings nicht antworten.

---

13. Abmeldung vom Newsletter über einen persönlichen Link§

Auf dieser Website gibt es kein Newsletter-Anmeldeformular. Es gibt ausschließlich eine Abmeldeseite, die Sie über einen persönlichen Link in einer unserer E-Mails erreichen.

Zweck. Umsetzung Ihres Widerrufs bzw. Ihres Widerspruchs gegen den Erhalt von Newslettern und Werbenachrichten – und der Nachweis, dass wir diesen umgesetzt haben.

Datenkategorien. Die im Link enthaltene persönliche Kennung und die dieser Kennung zugeordnete E-Mail-Adresse. Ihr bestehender Eintrag im Verteiler wird dabei auf „abgemeldet“ gesetzt – wir ändern also einen vorhandenen Eintrag und legen keinen neuen an. Unsere Datenbank vermerkt in jedem Eintrag automatisch den Zeitpunkt der letzten Änderung; bei einer Abmeldung ist das der Zeitpunkt Ihrer Abmeldung. Ihre IP-Adresse erheben wir dabei nicht.

Rechtsgrundlage. Art 6 Abs 1 lit c DSGVO: Wir sind gesetzlich verpflichtet, Ihren Widerruf bzw. Widerspruch umzusetzen (Art 7 Abs 3 und Art 21 Abs 3 DSGVO, § 174 TKG 2021). Der Widerruf muss so einfach sein wie die Erteilung der Einwilligung – deshalb genügt ein Klick, ohne Anmeldung und ohne Angabe von Gründen. Für den Nachweis, dass wir Ihren Widerruf umgesetzt haben, stützen wir uns auf Art 6 Abs 1 lit c iVm Art 7 Abs 1 und Art 5 Abs 2 DSGVO (Rechenschaftspflicht), ergänzend auf Art 6 Abs 1 lit f DSGVO; unser berechtigtes Interesse ist es, belegen zu können, dass Sie keine Werbenachrichten mehr erhalten wollten.

Empfänger. Die Abmeldung verarbeiten wir auf unserem eigenen Server (Abschnitt 5); dort wird auch der Verteiler geführt. Für den Versand der Newsletter gilt Abschnitt 8.

Drittlandtransfer. Es gelten die Angaben in den Abschnitten 5 und 8; eine Übersicht finden Sie in Abschnitt 18.

Speicherdauer. Ihre Abmeldung bleibt in Ihrem Eintrag im Verteiler vermerkt, solange wir Werbenachrichten versenden – nur so können wir sicherstellen, dass Sie keine mehr erhalten. Dieser Vermerk ist zugleich unser Nachweis; einen weiteren, gesonderten Abmeldenachweis führen wir nicht.

Erforderlichkeit. Ohne die im Link enthaltene Kennung können wir Ihre Abmeldung nicht der richtigen E-Mail-Adresse zuordnen. Sie können sich alternativ jederzeit formlos an info@oxygenihair.at wenden.

---

14. Vorher/Nachher-Fotos unserer Gäste§

Zweck. Auf der Ergebnisseite und auf einzelnen Behandlungsseiten zeigen wir Fotos von Behandlungsergebnissen unserer Gäste, um unsere Arbeit darzustellen.

Datenkategorien. Bildnis der abgebildeten Person, gegebenenfalls Vorname oder Initialen sowie die Bezeichnung der Behandlung.

Rechtsgrundlage. Ausschließlich die vorab eingeholte, ausdrückliche und schriftlich dokumentierte Einwilligung der abgebildeten Person nach Art 6 Abs 1 lit a DSGVO. Lässt das Bild Rückschlüsse auf einen Gesundheitszustand zu – etwa bei Aufnahmen der Kopfhaut –, zusätzlich Art 9 Abs 2 lit a DSGVO. Unabhängig davon holen wir die Zustimmung im Sinne des § 78 UrhG (Recht am eigenen Bild) ein.

Widerruf. Sie können Ihre Einwilligung jederzeit und ohne Angabe von Gründen mit Wirkung für die Zukunft widerrufen – formlos an info@oxygenihair.at. Wir entfernen die Aufnahme dann unverzüglich von unserer Website. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Veröffentlichung bleibt unberührt.

Empfänger. Die Fotos sind über unsere Website öffentlich abrufbar und damit für jede Person mit Internetzugang einsehbar. Ausgeliefert werden sie beim Betrieb der Website (Abschnitt 5).

Speicherdauer. Bis zum Widerruf der Einwilligung.

Erforderlichkeit. Es besteht keinerlei Verpflichtung, einer Veröffentlichung zuzustimmen. Die Behandlung selbst und ihr Preis hängen in keiner Weise davon ab.

---

15. Bewertungen und Erfahrungsberichte§

Soweit wir auf dieser Website Bewertungen oder Erfahrungsberichte von Gästen anzeigen, gilt:

Datenkategorien. Name oder Kürzel der bewertenden Person, Bewertungstext, Datum, gegebenenfalls Sternebewertung.

Rechtsgrundlage. Bei Zitaten, die uns Gäste ausdrücklich zur Veröffentlichung überlassen haben: Art 6 Abs 1 lit a DSGVO (Einwilligung, jederzeit widerrufbar). Bei Bewertungen, die die betreffende Person selbst öffentlich abgegeben hat und die wir unverändert wiedergeben: Art 6 Abs 1 lit f DSGVO; unser berechtigtes Interesse ist die Darstellung authentischer Rückmeldungen zu unserer Arbeit. Sie können der Wiedergabe jederzeit widersprechen (Art 21 DSGVO).

Empfänger / Drittlandtransfer. Die Bewertungen werden von uns als Text in die Seite eingefügt; Inhalte von Bewertungsportalen binden wir nicht ein, es findet also kein Datenfluss zu Dritten statt.

Speicherdauer. Bis zum Widerruf bzw. bis zu Ihrem Widerspruch.

Erforderlichkeit. Die Abgabe einer Bewertung ist freiwillig.

---

16. Links zu externen Angeboten§

Diese Website enthält Links auf externe Angebote:

• die Buchungsseite von Phorest und den Gutscheinshop von Phorest (für Gutscheine gelten ergänzend unsere Gutschein-Bedingungen),
• im Seitenfuß die Website des Unternehmens, das diese Website erstellt hat und betreibt.

Es handelt sich um reine Verlinkungen. Es sind keine Social-Media-Plugins, keine Vorschauelemente und keine eingebetteten Inhalte dieser Anbieter auf unserer Website eingebunden. Solange Sie einen Link nicht anklicken, werden keine Daten an die betreffenden Anbieter übermittelt.

Phorest ist dabei gesondert zu betrachten. Buchen Sie über die Buchungsseite einen Termin oder kaufen Sie im Gutscheinshop einen Gutschein, so verarbeitet Phorest diese Angaben in unserem Auftrag (Abschnitt 7): Ihre Termin- und Gutscheindaten gelangen in unsere Kundenkartei, und dafür bleiben wir verantwortlich. Nur soweit Phorest daneben für den Betrieb der eigenen Plattform verarbeitet, ist Phorest dafür selbst verantwortlich; insoweit gelten dessen Datenschutzbestimmungen.

Beim Link im Seitenfuß verlassen Sie mit dem Anklicken unsere Website. Ab diesem Zeitpunkt ist der Anbieter der verlinkten Website für die Datenverarbeitung verantwortlich; auf diese Verarbeitung haben wir keinen Einfluss.

Über diese Website findet kein Warenverkauf und kein Versand statt.

---

17. Begleitpersonen bei Paar- und Gruppenbuchungen (Information nach Art 14 DSGVO)§

Wenn Sie über die Chat-Assistentin oder telefonisch einen Termin für sich und eine weitere Person buchen, geben Sie uns Daten dieser Begleitperson. Diese Person hat uns ihre Daten nicht selbst gegeben. Für sie gilt daher Art 14 DSGVO – und dieser Abschnitt richtet sich unmittelbar an sie:

Woher wir Ihre Daten haben. Aus der Buchung, die eine andere Person – in der Regel Ihre Begleitung – für Sie vorgenommen hat.

Welche Kategorien wir verarbeiten. Vor- und Nachname, gewünschte Behandlung, Termin, gegebenenfalls die gewünschte Mitarbeiterin bzw. der gewünschte Mitarbeiter, gegebenenfalls E-Mail-Adresse oder Telefonnummer, sofern diese für Sie angegeben wurden.

Zweck und Rechtsgrundlage. Reservierung und Durchführung Ihres Termins: Art 6 Abs 1 lit b DSGVO, soweit auch mit Ihnen ein Behandlungsvertrag zustande kommt; im Übrigen Art 6 Abs 1 lit f DSGVO. Unser berechtigtes Interesse ist die Ermöglichung gemeinsamer Termine, wie sie von unseren Gästen ausdrücklich gewünscht werden.

Empfänger. Wie in Abschnitt 7 (Terminsystem) und Abschnitt 8 (E-Mail-Versand) beschrieben.

Speicherdauer. Wie in Abschnitt 7 beschrieben.

Wann wir Sie informieren. Senden wir Ihnen selbst eine Nachricht – etwa eine Terminbestätigung –, weisen wir Sie darin auf diese Datenschutzerklärung hin (Art 14 Abs 3 lit b DSGVO). Liegen uns keine Kontaktdaten von Ihnen vor, erhalten Sie diesen Hinweis spätestens einen Monat nach Erhalt Ihrer Daten, jedenfalls aber bei Ihrem Termin im Salon (Art 14 Abs 3 lit a DSGVO); zusätzlich bitten wir die buchende Person, Sie auf diese Erklärung hinzuweisen.

Ihre Rechte. Ihnen stehen sämtliche in Abschnitt 22 genannten Rechte zu, insbesondere das Recht auf Auskunft und das Widerspruchsrecht nach Art 21 DSGVO.

Bitte an die buchende Person: Geben Sie Daten einer Begleitperson bitte nur an, wenn diese damit einverstanden ist, und weisen Sie sie auf diese Datenschutzerklärung hin.

---

18. Übersicht der Empfänger§

Unabhängig davon ist mit dem Kartenausschnitt selbst und mit dem bloßen Vorhandensein des Routenplanungs-Links kein Datenfluss an Google verbunden: Der Kartenausschnitt ist ein eigenes Bild, und erst ein Klick auf den Link zur Routenplanung ruft Google selbst auf (Abschnitte 9 und 16).

Setzt die Syltron KFT im Einzelfall weitere Dienstleister ein, bindet sie diese in gleicher Weise; eine aktuelle Liste stellen wir Ihnen auf Anfrage zur Verfügung. Dasselbe gilt für die Dienstleister, die Phorest ihrerseits einsetzt. Eine formlose Nachricht an info@oxygenihair.at genügt. Die von Resend eingesetzten Unterauftragsverarbeiter veröffentlicht Resend unter https://resend.com/legal/subprocessors und kündigt Änderungen vorab an.

Darüber hinaus geben wir Ihre Daten nur weiter, wenn wir dazu gesetzlich verpflichtet sind oder es zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist. Wir verkaufen keine Daten und geben sie nicht zu Werbezwecken an Dritte weiter.

---

19. Übermittlung in Drittländer und die dafür bestehenden Garantien§

Ein „Drittland“ ist jeder Staat außerhalb des Europäischen Wirtschaftsraums. Auf dieser Website kommen Drittlandübermittlungen in diesen Fällen vor:

• OpenAI (Abschnitt 6.4) – unser Vertragspartner ist die irische Gesellschaft, eine Weiterübermittlung an Konzernunternehmen in den USA ist jedoch möglich,
• Resend (Abschnitt 8) – der Versand unserer Bestätigungs-, Erinnerungs- und Änderungs-E-Mails sowie des Newsletters wird nach Angabe des Anbieters überwiegend in den Vereinigten Staaten von Amerika verarbeitet,
• Cloudflare (Abschnitt 18) – der Anwendung ist eine Schicht zur Verschlüsselung der Verbindung und zur Abwehr von Überlastungs- und Missbrauchsangriffen vorgeschaltet, die unsere Hosterin einsetzt; deren Anbieterin hat ihren Sitz in den Vereinigten Staaten von Amerika und verfügt über ein weltweites Servernetz, sodass eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums insoweit nicht ausgeschlossen ist,
• Google (Abschnitt 11.2 – der Tag Manager lädt auf jeder Seite, Ihre IP-Adresse erreicht dabei bereits Google; Google Analytics und Google Ads werden erst nach Ihrer Zustimmung nachgeladen) – unsere Vertragspartnerin ist die irische Google Ireland Limited, eine Weiterübermittlung an die Muttergesellschaft Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA, ist jedoch nicht ausgeschlossen,
• WhatsApp (Abschnitt 12 – nur wenn Sie uns über WhatsApp schreiben) – Anbieterin ist die irische WhatsApp Ireland Limited, die als eigenständig Verantwortliche handelt; eine Übermittlung an die Muttergesellschaft Meta Platforms, Inc., USA, ist nicht ausgeschlossen. Die Meta Platforms, Inc. ist in der Data Privacy Framework List eingetragen.

Die Anwendung samt Datenbank (Abschnitt 5) läuft auf einem Server in Ungarn, die Auslieferung der öffentlich abrufbaren Seiten über Rechenzentren innerhalb der Europäischen Union. Beides liegt damit innerhalb der Europäischen Union; für den Betrieb selbst ist keine Übermittlung in ein Drittland verbunden – wohl aber für die ihm vorgeschaltete Schicht, wie im vorstehenden Punkt beschrieben. Auch das Terminsystem und die Kundenkartei (Abschnitt 7) verbleiben nach Angabe des Anbieters innerhalb der Europäischen Union.

Welche Garantien bestehen:

• Standardvertragsklauseln der Europäischen Kommission nach Art 46 Abs 2 lit c DSGVO. Sie sind Bestandteil unseres Vertrags mit OpenAI und decken dort die Weiterübermittlung in die Vereinigten Staaten von Amerika ab. Ebenso sind sie Bestandteil unseres Vertrags mit der Plus Five Five, Inc. (Resend) und decken dort den E-Mail-Versand ab – dieser Vertrag bezieht den Durchführungsbeschluss (EU) 2021/914 vom 4. Juni 2021 in seinem Modul 2 (Verantwortlicher an Auftragsverarbeiter) ein. Eine Kopie dieser Garantien erhalten Sie auf Anfrage unter info@oxygenihair.at.
• Ergänzende Maßnahmen neben den Standardvertragsklauseln: Verschlüsselung auf dem Transportweg und im gespeicherten Zustand, die vertragliche Zusage unserer Auftragsverarbeiterin, behördliche Auskunftsersuchen nach Möglichkeit an uns zu verweisen und uns über ein Ersuchen zu unterrichten, soweit ihr das gesetzlich erlaubt ist, sowie der Verzicht auf eine freiwillige Herausgabe von Daten an Behörden (Näheres in Abschnitt 8).
• Angemessenheitsbeschluss EU-U.S. Data Privacy Framework (Durchführungsbeschluss (EU) 2023/1795 vom 10. Juli 2023, Art 45 DSGVO). Er gilt nicht pauschal für „die USA“, sondern nur für US-Unternehmen, die in der Data Privacy Framework List eingetragen sind. Die OpenAI, L.L.C. ist dort eingetragen; die Übermittlung an OpenAI stützen wir gleichwohl auf die Standardvertragsklauseln. Die Plus Five Five, Inc. (Resend) erklärt in ihrem Auftragsverarbeitungsvertrag, gegenüber dem US-Handelsministerium die Einhaltung der Grundsätze des EU-U.S. Data Privacy Framework zertifiziert zu haben. Wir haben diese Erklärung nicht zur Grundlage der Übermittlung gemacht, sondern stützen uns auch hier auf die Standardvertragsklauseln. Für Google gilt dasselbe Vorgehen: Auch die Google LLC ist nach eigenen Angaben im Rahmen des EU-U.S. Data Privacy Framework zertifiziert; für die Google-Dienste aus Abschnitt 11.2 stützen wir die Übermittlung dennoch zusätzlich auf die in Googles Datenverarbeitungsbedingungen für Werbe- und Analyseprodukte enthaltenen Standardvertragsklauseln.

Zum Rechtsstand: Die Gültigkeit des Angemessenheitsbeschlusses ist Gegenstand eines beim Gerichtshof der Europäischen Union anhängigen Rechtsmittelverfahrens. Wir beobachten dieses Verfahren und stützen unsere Übermittlungen deshalb, wo immer möglich, zusätzlich auf Standardvertragsklauseln.

Restrisiko. Trotz dieser Garantien lässt sich nicht vollständig ausschließen, dass Behörden in Drittländern auf übermittelte Daten zugreifen und dass Ihnen dort nicht dieselben Rechtsbehelfe zur Verfügung stehen wie in der Europäischen Union. Aus diesem Grund halten wir die im Chat übermittelten Daten so gering wie möglich und bitten Sie, keine Gesundheitsdaten einzugeben (Abschnitt 6.7).

---

20. Speicher- und Löschfristen im Überblick§

Diese Fristen legen fest, wie lange wir die genannten Daten längstens benötigen; zu ihnen verpflichten wir uns. Die gespeicherten Beratungsantworten und die Angaben zur Missbrauchsabwehr entfernt unsere Anwendung nach Ablauf der Frist selbst; die automatische Löschroutine für Chatverläufe und für den Zwischenstand einer Buchung ist derzeit noch nicht in Betrieb, sodass wir diese Daten bis zu ihrer Inbetriebnahme auf Anforderung löschen (Abschnitt 6.10). Für die Daten, die bei Phorest, bei OpenAI und beim E-Mail-Versand anfallen, gelten die in den Abschnitten 6 bis 8 beschriebenen Fristen.

Verlangen Sie die Löschung Ihrer Daten (Abschnitt 22), führen wir sie unabhängig davon unverzüglich durch. Läuft ausnahmsweise ein gerichtliches oder behördliches Verfahren, in dem die Daten von Bedeutung sind, bewahren wir sie so lange auf, wie es dafür erforderlich ist.

---

21. Sicherheit Ihrer Daten (Art 32 DSGVO)§

Wir treffen geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Dazu zählen insbesondere:

• Verschlüsselte Übertragung aller Verbindungen zu dieser Website.
• Zugriffsbeschränkung im Betrieb: Auf Chatverläufe und Kundendaten greifen nur die Personen zu, die sie für ihre Aufgabe benötigen. Unser Verwaltungsbereich ist durch eine persönliche Anmeldung geschützt.
• Datenminimierung als Sicherheitsmaßnahme: kurz bemessene Löschfristen (Abschnitt 20), keine Speicherung von Zahlungsdaten auf dieser Website, ausdrückliche Bitte, keine Gesundheitsdaten in den Chat einzugeben.
• Begrenzung der Anfragenzahl zur Abwehr automatisierter Angriffe.
• Sorgfältige Auswahl der Auftragsverarbeiter und vertragliche Bindung nach Art 28 DSGVO.
• Belehrung unserer Mitarbeiterinnen und Mitarbeiter über das Datengeheimnis nach § 6 Abs 3 DSG.
• Meldeprozess für Datenschutzverletzungen binnen 72 Stunden an die Datenschutzbehörde (Art 33 DSGVO).

Einen Punkt legen wir ausdrücklich offen: Der Zugriff auf einen einzelnen Chatverlauf ist nicht durch ein Passwort, sondern nur durch den Sitzungsschlüssel in Ihrem Browser geschützt (Abschnitt 6.9). Einen darüber hinausgehenden Schutz sagen wir Ihnen nicht zu.

Bitte beachten Sie, dass die Datenübertragung im Internet Sicherheitslücken aufweisen kann. Ein lückenloser Schutz vor dem Zugriff durch Dritte ist nicht möglich.

---

22. Ihre Rechte§

Ihnen stehen die folgenden Rechte zu. Die Ausübung ist für Sie unentgeltlich. Wir antworten unverzüglich, jedenfalls aber innerhalb eines Monats nach Eingang Ihres Antrags; bei komplexen Anträgen kann sich diese Frist um bis zu zwei Monate verlängern, worüber wir Sie informieren (Art 12 Abs 3 DSGVO).

Ihr Widerspruchsrecht nach Art 21 DSGVO§

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten Widerspruch einzulegen, die auf Grundlage unseres berechtigten Interesses (Art 6 Abs 1 lit f DSGVO) erfolgt.

Das betrifft auf dieser Website insbesondere:

• die Speicherung des Chatverlaufs zur Beweissicherung, zur Bearbeitung von Reklamationen und zur Fehlersuche (Abschnitt 6.3),
• die Wiedererkennung als Stammgast und den Vorschlag Ihrer bisherigen Behandlungen (Abschnitt 6.5),
• die Protokollierung Ihrer IP-Adresse zur Missbrauchsabwehr (Abschnitt 6.6),
• die Auswertung von Gesprächsausschnitten zur Verbesserung der Assistentin (Abschnitt 6.12),
• die Zugriffsprotokolle des Servers (Abschnitt 5),
• die Wiedergabe öffentlich abgegebener Bewertungen (Abschnitt 15).

Wir verarbeiten die betroffenen Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Widerspruch gegen Direktwerbung: Werden Ihre Daten für Direktwerbung verarbeitet, haben Sie das Recht, jederzeit ohne Angabe von Gründen Widerspruch einzulegen. Danach verwenden wir Ihre Daten nicht mehr für diesen Zweck.

Ein formloser Hinweis genügt: info@oxygenihair.at oder +43 664 75049038. Ein bestimmtes Formular ist nicht erforderlich.

Widerruf von Einwilligungen§

Soweit wir Daten auf Grundlage Ihrer Einwilligung verarbeiten (Vorher/Nachher-Fotos, Erfahrungsberichte, Google Analytics/Google Ads (Abschnitt 11.2), gegebenenfalls gesundheitsbezogene Angaben), können Sie diese jederzeit und ohne Angabe von Gründen mit Wirkung für die Zukunft widerrufen. Der Widerruf ist genauso einfach wie die Erteilung der Einwilligung. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt (Art 7 Abs 3 DSGVO).

Widerrufsweg: eine formlose Nachricht an info@oxygenihair.at genügt. Für Ihre Zustimmung zu den Google-Diensten aus Abschnitt 11.2 nutzen Sie stattdessen den Link „Cookie-Einstellungen“ im Seitenfuß.

Ein praktischer Hinweis zur Auskunft über Chatverläufe: Wir identifizieren Besucherinnen und Besucher des Chats nicht namentlich. Die Gast-Sitzung (Abschnitt 6.9) kennzeichnet nur Ihren Browser, nicht Ihre Person, und wir führen sie nicht mit anderen Daten zusammen. Wir können einen Chatverlauf daher nur zuordnen, wenn Sie uns die im Chat verwendete E-Mail-Adresse oder Telefonnummer nennen. Können wir Sie nicht identifizieren, sind wir nach Art 11 Abs 2 DSGVO nicht verpflichtet, zusätzliche Daten allein zur Identifizierung zu erheben.

Beschwerderecht bei der Aufsichtsbehörde§

Wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer Daten gegen das Datenschutzrecht verstößt, können Sie sich jederzeit bei uns beschweren – oder unmittelbar bei der Aufsichtsbehörde:

Österreichische Datenschutzbehörde Barichgasse 40–42, 1030 Wien, Österreich Telefon: +43 1 52 152-0 E-Mail: dsb@dsb.gv.at Web: https://www.dsb.gv.at/ Beschwerde einbringen: https://dsb.gv.at/eingabe-an-die-dsb/beschwerde

Beachten Sie die Frist des § 24 Abs 4 DSG: Der Anspruch auf Behandlung einer Beschwerde erlischt, wenn sie nicht binnen eines Jahres ab Kenntnis vom beschwerenden Ereignis, längstens aber binnen drei Jahren ab dem Ereignis eingebracht wird.

Unabhängig davon steht Ihnen der Rechtsweg zu den ordentlichen Gerichten offen, insbesondere für Schadenersatzansprüche nach Art 82 DSGVO.

---

23. Änderungen dieser Datenschutzerklärung§

Wir passen diese Datenschutzerklärung an, wenn sich unsere Website, die eingesetzten Dienste oder die Rechtslage ändern. Maßgeblich ist die jeweils auf https://hairspawien.at/datenschutz veröffentlichte Fassung. Das Datum der letzten Änderung finden Sie am Ende dieses Dokuments.

Bei wesentlichen Änderungen – etwa der Aufnahme eines neuen Empfängers oder eines neuen Zwecks – weisen wir Sie zusätzlich in geeigneter Form darauf hin. Beruht eine Verarbeitung auf Ihrer Einwilligung, holen wir diese vor der Änderung neu ein.

---

Oxygeni Hair GmbH · Fassung 1.9 · Stand 6. Oktober 2026