Datenschutzerklärung

Oxygeni Hair GmbH, Wiedner Hauptstraße 134/136, 1050 Wien
Fassung 1.2 · Stand 27. August 2026 · gültig ab 27. August 2026

Inhalt§

1. Verantwortlicher und Kontakt für Datenschutzanfragen
2. Geltungsbereich dieser Erklärung
3. Grundsätze: worauf wir uns stützen
4. Übersicht: welche Verarbeitungen auf dieser Website stattfinden
5. Aufruf und Betrieb der Website
6. Die KI-Chat-Assistentin
7. Terminbuchung, Kundenkartei und Behandlungshistorie
8. Bestätigungs- und Erinnerungs-E-Mails
9. Google Maps – nur nach Ihrer Einwilligung
10. Team-Fotos auf der Seite „Über uns“
11. Cookies und Speicherung in Ihrem Browser
12. Kontaktaufnahme per E-Mail und Telefon
13. Abmeldung vom Newsletter über einen persönlichen Link
14. Vorher/Nachher-Fotos unserer Gäste
15. Bewertungen und Erfahrungsberichte
16. Links zu externen Angeboten
17. Begleitpersonen bei Paar- und Gruppenbuchungen (Information nach Art 14 DSGVO)
18. Übersicht der Empfänger
19. Übermittlung in Drittländer und die dafür bestehenden Garantien
20. Speicher- und Löschfristen im Überblick
21. Sicherheit Ihrer Daten (Art 32 DSGVO)
22. Ihre Rechte
23. Änderungen dieser Datenschutzerklärung

---

1. Verantwortlicher und Kontakt für Datenschutzanfragen§

Verantwortlicher im Sinne des Art 4 Z 7 der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, im Folgenden DSGVO) für die Datenverarbeitung auf dieser Website ist:

Oxygeni Hair GmbH Wiedner Hauptstraße 134/136, 1050 Wien, Österreich Firmenbuchnummer: FN 537122 k, Firmenbuchgericht: Handelsgericht Wien Geschäftsführer: Peter Nemeth Telefon: +43 664 75049038 E-Mail: info@oxygenihair.at Salon/Marke: Oxygeni Hair Spa Wien

Weitere Angaben zum Unternehmen finden Sie im Impressum.

Ansprechstelle für alle Fragen zum Datenschutz und für die Ausübung Ihrer Rechte: info@oxygenihair.at, Betreff „Datenschutz“, oder telefonisch unter +43 664 75049038.

Ein Datenschutzbeauftragter ist nicht bestellt. Die Voraussetzungen des Art 37 Abs 1 DSGVO liegen nach unserer dokumentierten Prüfung nicht vor: Unsere Kerntätigkeit ist die Erbringung von Friseur- und Kosmetikdienstleistungen und nicht die Datenverarbeitung; eine umfangreiche regelmäßige und systematische Überwachung betroffener Personen findet nicht statt. Wir nennen Ihnen daher bewusst keine Person als „Datenschutzbeauftragte“, sondern die oben genannte Ansprechstelle.

---

2. Geltungsbereich dieser Erklärung§

Diese Erklärung gilt für die Website https://hairspawien.at mit allen öffentlich zugänglichen Unterseiten sowie für die KI-Chat-Assistentin, die auf jeder dieser Seiten eingeblendet wird.

Nicht von dieser Erklärung erfasst sind die Profile in sozialen Netzwerken (Instagram, Facebook, TikTok, YouTube), auf die wir verlinken. Sobald Sie einem dieser Links folgen, gelten die Datenschutzbestimmungen des jeweiligen Anbieters. Siehe dazu Abschnitt 16.

Anders liegt es bei der Buchungs- und Gutscheinseite von Phorest: Diese Seiten werden zwar unter einer fremden Adresse betrieben, Phorest verarbeitet die dort eingegebenen Angaben aber in unserem Auftrag (Abschnitt 7). Für Ihre Termin- und Gutscheindaten gilt deshalb diese Erklärung – auch dann, wenn Sie dort und nicht bei uns buchen.

---

3. Grundsätze: worauf wir uns stützen§

Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage nach Art 6 Abs 1 DSGVO. Auf dieser Website kommen vier davon vor:

Für Gesundheitsdaten (Art 9 DSGVO) reichen diese Grundlagen nicht aus. Dafür wäre zusätzlich Ihre ausdrückliche Einwilligung nach Art 9 Abs 2 lit a DSGVO erforderlich. Wir haben uns deshalb dafür entschieden, Gesundheitsangaben auf dieser Website und im Chat gar nicht zu erheben – Näheres in Abschnitt 6.7.

Zusätzlich gilt für das Speichern von Informationen in Ihrem Endgerät und den Zugriff darauf § 165 Abs 3 des Telekommunikationsgesetzes 2021 (TKG 2021). Danach informieren wir Sie darüber, welche Daten wir verarbeiten, auf welcher Rechtsgrundlage, zu welchem Zweck und wie lange wir sie speichern (Abschnitt 11, siehe auch die Cookie-Informationen).

---

4. Übersicht: welche Verarbeitungen auf dieser Website stattfinden§

Auf dieser Website findet ausdrücklich nicht statt: kein Google Analytics, kein Google Tag Manager, keine Werbe- oder Remarketing-Technologien, kein seitenübergreifendes Besucher-Tracking und keine Profilbildung, keine Social-Media-Plugins, keine Zahlungsabwicklung, kein Warenverkauf und kein Newsletter-Anmeldeformular. Ausgewertet wird allerdings, an welcher Stelle des Buchungsablaufs Gespräche abgebrochen werden (Abschnitt 6.12). Die Schriftarten liefern wir selbst aus; eine Verbindung zu einem Schriftartendienst besteht dabei nicht. Die Website selbst setzt keine Cookies.

---

5. Aufruf und Betrieb der Website§

Zweck. Damit wir Ihnen diese Website anzeigen können, muss Ihr Browser eine Verbindung zu unserem Server herstellen. Der Server protokolliert diese Zugriffe, um den Betrieb sicherzustellen, Fehler zu finden und Angriffe abzuwehren.

Über denselben Server zeigen wir Ihnen die aktuellen Preise und Aktionen an, betreiben die Chat-Assistentin (Abschnitt 6) und nehmen Ihre Abmeldung vom Newsletter entgegen (Abschnitt 13).

Datenkategorien. Beim Aufruf einer Seite: IP-Adresse, Datum und Uhrzeit des Zugriffs, die aufgerufene Seite, die übertragene Datenmenge, die Meldung über den Erfolg des Abrufs, die zuvor besuchte Seite sowie Browser und Betriebssystem Ihres Geräts. Hinzu kommen die Angaben, die Sie selbst machen – insbesondere Ihre Chatnachrichten und Buchungsangaben (Abschnitt 6) und die zur Newsletter-Abmeldung nötigen Daten (Abschnitt 13). Preise und Aktionen zeigen wir ohne Personenbezug an.

Rechtsgrundlage. Art 6 Abs 1 lit b DSGVO, soweit es um die Anbahnung und Durchführung Ihrer Terminbuchung geht; im Übrigen Art 6 Abs 1 lit f DSGVO. Unser berechtigtes Interesse ist der sichere, stabile und störungsfreie Betrieb der Website und die Abwehr missbräuchlicher Zugriffe. Ergänzend informieren wir Sie hiermit nach § 165 Abs 3 TKG 2021.

Empfänger. Den technischen Betrieb der Website und der dahinterliegenden Anwendung hat in unserem Auftrag die

Syltron KFT, Sport utca 3, 2836 Baj, Ungarn

als Auftragsverarbeiterin übernommen. Sie ist an unsere Weisungen gebunden; die Einzelheiten regelt ein Vertrag über die Auftragsverarbeitung nach Art 28 DSGVO. Der Betrieb ist technisch zweigeteilt:

• Die Anwendung – die Chat-Assistentin und die zugehörige Datenbank – läuft auf einem Server, den die Syltron KFT selbst betreibt. Die Verarbeitung findet in Ungarn statt.
• Die Auslieferung der öffentlich abrufbaren Seiten erfolgt über die Hostinger International Ltd, 61 Lordou Vironos Street, 6023 Larnaca, Zypern. Die Syltron KFT setzt sie hierfür als Unterauftragsverarbeiterin nach Art 28 Abs 4 DSGVO ein; die dabei genutzten Rechenzentren stehen innerhalb der Europäischen Union.

Beide Verarbeitungsorte liegen damit innerhalb der Europäischen Union. Setzt die Syltron KFT im Einzelfall weitere Dienstleister ein, bindet sie diese in gleicher Weise; eine aktuelle Liste stellen wir Ihnen auf Anfrage zur Verfügung – formlos an info@oxygenihair.at.

Drittlandtransfer. Für den Betrieb der Website und der Anwendung selbst findet keine Übermittlung in ein Drittland statt. Der Anwendung ist eine Schicht zur Verschlüsselung der Verbindung und zur Abwehr von Überlastungs- und Missbrauchsangriffen vorgeschaltet, die die Syltron KFT einsetzt; deren Anbieterin hat ihren Sitz in den Vereinigten Staaten von Amerika und verfügt über ein weltweites Servernetz, sodass eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums insoweit nicht ausgeschlossen ist (Abschnitte 18 und 19). Für den Versand unserer E-Mails setzen wir einen gesonderten Dienstleister ein, der in den Vereinigten Staaten von Amerika verarbeitet; dazu Abschnitt 8 und Abschnitt 19.

Speicherdauer. Die Zugriffsprotokolle löschen wir 30 Tage nach dem Zugriff. Länger bewahren wir einzelne Einträge nur auf, wenn sie zur Aufklärung eines konkreten Sicherheitsvorfalls erforderlich sind; das halten wir in einem Aktenvermerk fest. Für alle übrigen Daten gelten die Fristen in Abschnitt 20.

Erforderlichkeit. Ohne Übertragung Ihrer IP-Adresse kann Ihnen kein Server eine Website anzeigen; diese Verarbeitung ist technisch unvermeidbar. Eine Pflicht, uns Daten bereitzustellen, trifft Sie nicht – Sie können die Website jederzeit verlassen.

---

6. Die KI-Chat-Assistentin§

Die Chat-Assistentin ist die umfangreichste Verarbeitung auf dieser Website. Bitte lesen Sie diesen Abschnitt, bevor Sie den Chat benutzen. Ergänzende Hinweise zur Funktionsweise finden Sie unter
KI-Assistentin.

6.1 Was die Assistentin ist – und was sie nicht ist§

Auf jeder öffentlichen Seite dieser Website steht Ihnen eine automatisierte Chat-Assistentin zur Verfügung. Sie ist in drei Sprachen (Deutsch, Ungarisch, Englisch) verfügbar.

Sie schreiben mit einem KI-System, nicht mit einem Menschen. Die Assistentin beruht auf großen Sprachmodellen. Sie handelt im Auftrag der Oxygeni Hair GmbH, Wiedner Hauptstraße 134–136, 1050 Wien.

Diesen Hinweis geben wir Ihnen bereits im Chatfenster selbst, bevor Sie die erste Nachricht schreiben. Wir nehmen die Assistentin unter unserem eigenen Namen in Betrieb und sind damit Anbieterin im Sinne des Art 3 Nr 3 der Verordnung (EU) 2024/1689 über künstliche Intelligenz (KI-Verordnung), die seit 2. August 2026 anwendbar ist. Der Hinweis erfüllt die Transparenzpflicht des Art 50 Abs 1 KI-Verordnung; bereitgestellt wird er Ihnen nach Art 50 Abs 5 KI-Verordnung spätestens zum Zeitpunkt der ersten Interaktion.

Antworten können falsch sein. KI-Systeme erzeugen den aus statistischer Sicht wahrscheinlichsten Text – nicht notwendigerweise den sachlich richtigen. Angaben zu Preisen, Dauer und Verfügbarkeiten können daher fehlerhaft sein. Wenn Ihnen etwas seltsam vorkommt, rufen Sie uns bitte an. Die Assistentin erteilt keine medizinische Beratung und stellt keine Diagnosen.

Das ist kein Haftungsausschluss. Die Assistentin handelt in unserem Auftrag; ihre Erklärungen sind uns zuzurechnen. Wann ein Termin verbindlich zustande kommt und welcher Preis gilt, regeln unsere Allgemeinen Geschäftsbedingungen. Ihre gesetzlichen Rechte – insbesondere wegen Irrtums und aus Gewährleistung sowie Ihr Rücktrittsrecht nach dem Fern- und Auswärtsgeschäfte-Gesetz – bleiben davon unberührt.

Wenn Sie lieber mit einem Menschen sprechen: +43 664 75049038 oder info@oxygenihair.at.

6.2 Welche Daten wir im Chat verarbeiten§

• Inhalt des Gesprächs: Ihre Nachrichten im Volltext und die Antworten der Assistentin.
• Angaben für die Buchung: Vor- und Nachname, E-Mail-Adresse, Telefonnummer, gewünschte Behandlung, Wunschtermin, gegebenenfalls Wunsch nach einer bestimmten Mitarbeiterin oder einem bestimmten Mitarbeiter sowie Angaben zu Begleitpersonen bei Paar- und Gruppenbuchungen (dazu Abschnitt 17).
• Technische Daten: IP-Adresse, Zeitpunkt der Nachrichten, gewählte Sprache und der Zwischenstand Ihrer Buchung.
• Frühere Termine bei uns, wenn wir Sie anhand Ihrer E-Mail-Adresse oder Telefonnummer als wiederkehrenden Gast in unserem Terminsystem erkennen (dazu Abschnitt 6.5).
• Gespeicherte Beratungsantworten: Stellen Sie eine allgemeine Beratungsfrage, bewahren wir den Wortlaut Ihrer Frage und die darauf erteilte Antwort auf. Wird dieselbe oder eine sinngleiche Frage später erneut gestellt, können wir sie damit schneller beantworten. Bei Fragen zu Preisen und Aktionen tun wir das nicht. Schreiben Sie in eine solche Frage personenbezogene Angaben, werden auch diese mitgespeichert.

Der Wortlaut Ihrer Nachrichten und unserer Antworten wird also gespeichert – auch dazu, um künftige Antworten zu verbessern und zu beschleunigen. Gespeichert wird auf unserem Server (Abschnitt 5).

6.3 Zwecke und Rechtsgrundlagen im Einzelnen§

Gegen alle auf Art 6 Abs 1 lit f DSGVO gestützten Verarbeitungen können Sie jederzeit Widerspruch einlegen (Art 21 DSGVO, siehe Abschnitt 22).

6.4 Übermittlung Ihrer Chatinhalte an OpenAI§

Um Ihre Nachrichten zu verstehen und zu beantworten, übermitteln wir den Inhalt des Gesprächs – bei Beratungsfragen auch den Wortlaut Ihrer Frage (Abschnitt 6.2) – an

OpenAI Ireland Ltd., 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland

Zum Einsatz kommen dabei Sprachmodelle von OpenAI. OpenAI Ireland Ltd. ist für uns Auftragsverarbeiter im Sinne des Art 28 DSGVO: Wir bestimmen Zweck und Mittel der Verarbeitung, OpenAI verarbeitet ausschließlich auf unsere Weisung.

Kein Training mit Ihren Daten. Wir haben mit OpenAI vereinbart, dass die übermittelten Inhalte nicht zum Training der Modelle von OpenAI verwendet werden.

Speicherung bei OpenAI. OpenAI speichert die übermittelten Inhalte und die darauf erteilten Antworten nach eigenen Angaben standardmäßig bis zu 30 Tage, um den Dienst zu erbringen und Missbrauch zu erkennen, und löscht sie danach.

Drittlandtransfer. Soweit OpenAI Ireland Ltd. zur Erbringung des Dienstes Daten an Konzernunternehmen in den Vereinigten Staaten von Amerika weiterübermittelt, erfolgt dies auf Grundlage der Standardvertragsklauseln der Europäischen Kommission (Art 46 Abs 2 lit c DSGVO), die Bestandteil des Auftragsverarbeitungsvertrags (Data Processing Addendum) von OpenAI sind. Die OpenAI, L.L.C. ist daneben unter dem EU-U.S. Data Privacy Framework zertifiziert; wir stützen die Übermittlung gleichwohl auf die Standardvertragsklauseln. Eine Kopie der Garantien erhalten Sie auf Anfrage unter info@oxygenihair.at. Näheres zum Drittlandtransfer und zum aktuellen Rechtsstand finden Sie in Abschnitt 19.

6.5 Wiedererkennung wiederkehrender Gäste§

Wenn Sie im Chat Ihre E-Mail-Adresse oder Ihre Telefonnummer nennen, gleicht die Assistentin diese mit unserer Kundenkartei im Terminsystem Phorest ab. Erkennt sie Sie wieder, spricht sie Sie namentlich an und kann Ihnen Ihre bisher gebuchten Behandlungen („wie gewohnt“) vorschlagen.

• Rechtsgrundlage: Art 6 Abs 1 lit f DSGVO. Unser berechtigtes Interesse ist eine effiziente, persönliche Terminvereinbarung, bei der Sie Ihre Daten nicht erneut eingeben müssen.
• Datenkategorien: E-Mail-Adresse bzw. Telefonnummer als Suchschlüssel, Name, bisherige Behandlungen und Termine, bevorzugte Mitarbeiterin bzw. bevorzugter Mitarbeiter.
• Herkunft der Daten: aus unserer eigenen Kundenkartei – also auch aus Terminen, die Sie telefonisch oder persönlich im Salon vereinbart haben.
• Diese Auswertung ist Profiling im Sinne des Art 4 Z 4 DSGVO. Sie ist jedoch mit keiner Entscheidung verbunden, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt.
• Sie können dem jederzeit widersprechen (Art 21 Abs 1 DSGVO) – formlos an info@oxygenihair.at. Danach behandelt die Assistentin Sie wie einen neuen Gast.

6.6 IP-Adressen und Begrenzung der Anfragenzahl§

Um zu verhindern, dass die Assistentin durch automatisierte Massenanfragen missbraucht oder überlastet wird, begrenzen wir die Zahl der Anfragen. Dafür speichern wir zu jeder Anfrage die IP-Adresse, die Kennung des Gesprächs, den Zeitpunkt und die Zahl der bisherigen Anfragen.

• Rechtsgrundlage: Art 6 Abs 1 lit f DSGVO. Unser berechtigtes Interesse ist der sichere und verfügbare Betrieb des Dienstes und der Schutz vor Missbrauch (Erwägungsgrund 49 DSGVO).
• Speicherdauer: zehn Minuten. Nach Ablauf dieser Zeit entfernt sie eine automatische Aufräumroutine; das geschieht üblicherweise unmittelbar danach, bei sehr geringem Aufkommen auf der Website erst mit einem der nächsten Aufräumläufe. Nur wenn ein konkreter Sicherheitsvorfall aufzuklären ist, bewahren wir einzelne Einträge bewusst länger auf und halten das in einem Aktenvermerk fest.
• Die IP-Adresse wird nicht dazu verwendet, Sie über mehrere Besuche hinweg wiederzuerkennen, und sie wird nicht mit Ihren Buchungsdaten zusammengeführt.

6.7 Gesundheitsbezogene Angaben – bitte nicht im Chat§

Angaben zu Kopfhauterkrankungen, Allergien und Unverträglichkeiten, Haarausfall, Medikamenteneinnahme oder einer Schwangerschaft sind Gesundheitsdaten und damit besondere Kategorien personenbezogener Daten nach Art 9 Abs 1 DSGVO. Ihre Verarbeitung ist grundsätzlich untersagt. Der Gerichtshof der Europäischen Union legt den Begriff sehr weit aus: Es genügt, dass sich aus den Angaben durch gedankliche Kombination oder Ableitung auf den Gesundheitszustand schließen lässt.

Wir haben uns deshalb bewusst für Datenvermeidung statt für Einwilligungstexte entschieden:

Bitte teilen Sie uns gesundheitsbezogene Angaben nicht im Chat mit. Die Assistentin fragt nicht danach. Besprechen Sie solche Themen bitte persönlich im Salon oder telefonisch unter +43 664 75049038.

Sollten Sie dennoch derartige Angaben machen, verarbeiten wir sie ausschließlich, um Ihre Nachricht zu beantworten und Sie an das persönliche Gespräch zu verweisen; sie werden im Rahmen der in Abschnitt 20 genannten Fristen gelöscht.

Beschreiben Sie ein Anliegen wie trockene Kopfhaut, Schuppen oder Stress, kann Ihnen die Assistentin daraufhin eine Behandlung aus unserem Angebot vorschlagen. Das ist eine Angebotsinformation und weder eine Diagnose noch eine Heilaussage; eine ärztliche Abklärung ersetzt sie nicht. Eine darüber hinausgehende Verarbeitung – insbesondere die Aufnahme solcher Angaben in Ihre Kundenkartei oder ihre Verwendung für die Durchführung der Behandlung – erfolgt nur auf Grundlage Ihrer ausdrücklichen Einwilligung nach Art 9 Abs 2 lit a DSGVO, die wir gesondert und getrennt von allen anderen Erklärungen einholen und die Sie jederzeit mit Wirkung für die Zukunft widerrufen können (Art 7 Abs 3 DSGVO).

6.8 Automatisierte Terminbuchung und Art 22 DSGVO§

Die Logik in verständlicher Form (Art 13 Abs 2 lit f DSGVO): Die Assistentin ermittelt aus Ihren Angaben die gewünschte Behandlung und deren Dauer, fragt die freien Zeiten der dafür qualifizierten Mitarbeiterinnen und Mitarbeiter in unserem Terminsystem ab, gleicht diese mit bereits vergebenen Terminen und Abwesenheiten ab und schlägt Ihnen daraus passende Termine vor. Bestätigen Sie einen Vorschlag und geben Sie Ihre Kontaktdaten an, legt die Assistentin den Termin selbsttätig in unserem Terminsystem an.

Tragweite und Auswirkungen: Die Verarbeitung entscheidet darüber, welche Termine Ihnen angeboten und welche angelegt werden. Sie hat keine über die Terminvereinbarung hinausgehenden Folgen; sie führt zu keiner Bewertung Ihrer Person, keiner Bonitätsprüfung und keiner Benachteiligung.

Einordnung: Eine ausschließlich automatisierte Entscheidung, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt (Art 22 Abs 1 DSGVO), ist damit nach unserer Einschätzung nicht verbunden. Soweit man dies anders sieht, stützen wir die Verarbeitung auf Art 22 Abs 2 lit a DSGVO (Erforderlichkeit für den Abschluss des Vertrags) und gewähren Ihnen die Garantien des Art 22 Abs 3 DSGVO:

Sie haben jederzeit das Recht, das Eingreifen einer Mitarbeiterin oder eines Mitarbeiters zu verlangen, Ihren eigenen Standpunkt darzulegen und eine automatisiert getroffene Entscheidung anzufechten – telefonisch unter +43 664 75049038 oder per E-Mail an info@oxygenihair.at. Ein Mensch prüft Ihre Terminanfrage dann erneut.

Automatisierte Entscheidungen auf Grundlage besonderer Kategorien personenbezogener Daten (Art 22 Abs 4 DSGVO) treffen wir nicht. Ein Behandlungsvorschlag, den die Assistentin auf ein von Ihnen beschriebenes Anliegen hin macht (Abschnitt 6.7), ist eine Angebotsinformation und keine Entscheidung im Sinne des Art 22 Abs 1 DSGVO: Ob Sie ihn annehmen, entscheiden Sie, und die Behandlung selbst wird vor Ort mit einer Mitarbeiterin oder einem Mitarbeiter besprochen.

6.9 Zugriff auf Ihren Chatverlauf§

Ihr Chatverlauf wird unter einer Kennung des Gesprächs gespeichert. Ein Benutzerkonto und eine Anmeldung gibt es dafür nicht.

Bitte beachten Sie: Der Zugriff auf einen Chatverlauf ist nicht durch ein Passwort geschützt. Wir können daher nicht ausschließen, dass Dritte Kenntnis von einem Gespräch erlangen. Wir treffen die nach Art 32 DSGVO angemessenen technischen und organisatorischen Maßnahmen, um Ihre Daten zu schützen (Abschnitt 21); ein darüber hinausgehender Schutz besteht nicht. Geben Sie im Chat deshalb bitte nur Angaben ein, die für die Terminvereinbarung nötig sind, und keine Gesundheitsdaten (Abschnitt 6.7). Auf einem gemeinsam genutzten Gerät schließen Sie das Chatfenster bitte, bevor Sie es weiterreichen: Das geöffnete Gespräch ist am Bildschirm sichtbar, in Ihrem Browser gespeichert wird es nicht (Abschnitt 11).

Auch deshalb bemessen wir die Speicherfristen kurz (Abschnitt 6.10) und bitten Sie, keine Gesundheitsdaten einzugeben (Abschnitt 6.7).

6.10 Speicherdauer im Chat§

Für Chatverläufe besteht keine gesetzliche Aufbewahrungspflicht. Steuerliche Aufbewahrungsfristen gelten für Belege und Buchhaltungsunterlagen, nicht für Gesprächsprotokolle.

Diese Fristen sind unser Löschkonzept: Zu ihnen verpflichten wir uns, und nach ihnen löschen wir. Sie können die Löschung Ihres Chatverlaufs auch früher verlangen (Abschnitt 22); wir führen sie dann unverzüglich durch.

6.11 Freiwilligkeit und Mindestalter§

Die Benutzung des Chats ist vollständig freiwillig. Sie können jeden Termin ebenso telefonisch, persönlich im Salon oder über die externe Buchungsseite von Phorest vereinbaren. Wenn Sie einen Termin über den Chat buchen möchten, sind Name, E-Mail-Adresse und Telefonnummer allerdings erforderlich: Ohne diese Angaben können wir den Termin nicht reservieren und Sie nicht erreichen, falls sich etwas ändert.

Die Assistentin richtet sich an Personen ab 16 Jahren. Jüngere Personen bitten wir, Termine gemeinsam mit einer erziehungsberechtigten Person telefonisch oder im Salon zu vereinbaren. Diese Altersgrenze setzen wir selbst – sie dient dem Schutz Minderjähriger und der Frage, wer einen Behandlungstermin wirksam vereinbaren kann.

Die Verarbeitung im Chat stützt sich nicht auf eine Einwilligung, sondern auf Art 6 Abs 1 lit b und lit f DSGVO; auf die Altersgrenze des Art 8 Abs 1 DSGVO für die Einwilligung eines Kindes in Dienste der Informationsgesellschaft kommt es hier daher nicht an.

6.12 Auswertung von Gesprächen zur Verbesserung der Assistentin und des Buchungsablaufs§

Damit die Assistentin besser wird, werten wir in regelmäßigen Abständen Ausschnitte aus Gesprächen der letzten Tage aus. Ziel ist herauszufinden, welche Fragen die Assistentin nicht gut beantworten konnte, und daraus Ergänzungen für ihre Wissensbasis vorzuschlagen. Jeder Vorschlag wird von einem Menschen geprüft, bevor er übernommen wird.

• Datenkategorien: Ausschnitte des Gesprächsverlaufs – also auch Angaben, die Sie selbst in den Chat geschrieben haben.
• Empfänger: Für die Auswertung übermitteln wir diese Ausschnitte an OpenAI (Abschnitt 6.4). Nach der mit OpenAI getroffenen Vereinbarung findet dabei kein Training der Modelle von OpenAI mit Ihren Daten statt; die Auswertung erzeugt nur einen Textvorschlag für unsere eigene Wissensbasis.
• Rechtsgrundlage: Art 6 Abs 1 lit f DSGVO. Unser berechtigtes Interesse ist die Verbesserung der Qualität und Verlässlichkeit unserer Beratung.
• Speicherdauer: Die Ausschnitte werden nicht gesondert gespeichert; für die zugrunde liegenden Gespräche gelten die Fristen aus Abschnitt 6.10. Ein angenommener Vorschlag wird als allgemein formulierter Wissensbaustein ohne Personenbezug gespeichert.
• Sie können dem jederzeit widersprechen (Art 21 Abs 1 DSGVO) – formlos an info@oxygenihair.at.

Auswertung abgebrochener Gespräche. In unserem Verwaltungsbereich werten wir außerdem aus, an welcher Stelle des Buchungsablaufs Gespräche abgebrochen werden. Dabei sehen wir auch Textproben aus abgebrochenen Gesprächen, insbesondere die jeweils letzte Antwort der Assistentin. Rechtsgrundlage ist Art 6 Abs 1 lit f DSGVO; unser berechtigtes Interesse ist es, Hürden im Buchungsablauf zu erkennen und zu beseitigen. Diese Auswertung nehmen wir selbst vor; die Ausschnitte werden dafür weder an Dritte übermittelt noch gesondert gespeichert. Auch dieser Verarbeitung können Sie jederzeit widersprechen (Art 21 Abs 1 DSGVO).

---

7. Terminbuchung, Kundenkartei und Behandlungshistorie§

Zweck. Vereinbarung, Verwaltung, Erinnerung und Abrechnung Ihres Termins sowie die Führung unserer Kundenkartei und Ihrer Behandlungshistorie. Auf dieses System greift auch die Chat-Assistentin zu (Abschnitt 6).

Datenkategorien. Vor- und Nachname, E-Mail-Adresse, Telefonnummer, gewünschte und durchgeführte Behandlungen, Termine, zugeteilte Mitarbeiterin bzw. zugeteilter Mitarbeiter, Behandlungshistorie sowie – bei anzahlungspflichtigen Behandlungen – der Zahlungsstatus.

Abgleich für die Verfügbarkeitsprüfung. Damit die Chat-Assistentin freie Zeiten verlässlich und ohne Verzögerung prüfen kann, übernehmen wir den Terminkalender stündlich auf unseren eigenen Server (Abschnitt 5). Übernommen werden je Termin die Leistung, das Datum, die Uhrzeit, die Dauer und der Status sowie die Angabe, welche Mitarbeiterin oder welcher Mitarbeiter den Termin übernimmt. Namen, E-Mail-Adressen und Telefonnummern werden dabei nicht übertragen; der Bezug zu Ihrer Person bleibt über das Terminsystem allerdings herstellbar, weshalb wir auch diese Daten als personenbezogen behandeln. Rechtsgrundlage ist Art 6 Abs 1 lit b DSGVO, ergänzend Art 6 Abs 1 lit f DSGVO; unser berechtigtes Interesse ist eine verlässliche Verfügbarkeitsprüfung, ohne das Terminsystem bei jeder einzelnen Anfrage abzufragen.

Rechtsgrundlage. Art 6 Abs 1 lit b DSGVO (Erfüllung des Vertrags über die Behandlung bzw. Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage). Für die Aufbewahrung von Rechnungs- und Zahlungsbelegen zusätzlich Art 6 Abs 1 lit c DSGVO (rechtliche Verpflichtung nach § 132 Abs 1 BAO und § 212 Abs 1 UGB). Welche Regeln für Absagen und Nichterscheinen gelten, entnehmen Sie den Stornobedingungen.

Empfänger. Die Salonsoftware wird betrieben von nDevor Systems Ltd T/A Phorest, 66/67 Great Strand Street, Dublin 1, D01 RW84, Irland. Phorest ist für uns Auftragsverarbeiter nach Art 28 DSGVO. Weitere Empfänger sind unsere Steuerberatung im Rahmen der buchhalterischen Pflichten, bei Zahlungen der von Phorest eingesetzte Zahlungsdienstleister sowie die weiteren Dienste, die Phorest für den Betrieb der Salonsoftware einsetzt. Eine aktuelle Liste stellen wir Ihnen auf Anfrage zur Verfügung – formlos an info@oxygenihair.at.

Drittlandtransfer. Nach Angaben des Anbieters werden personenbezogene Daten von Personen aus der Europäischen Union ausschließlich innerhalb der EU gespeichert. Eine Übermittlung in ein Drittland findet insoweit nicht statt.

Speicherdauer.

• Behandlungsbezogene Daten: für die Dauer der Kundenbeziehung und darüber hinaus 3 Jahre (Verjährung von Schadenersatzansprüchen, § 1489 ABGB).
• Rechnungen und Zahlungsbelege: 7 Jahre ab Schluss des Kalenderjahres, auf das sie sich beziehen (§ 132 Abs 1 BAO, § 212 Abs 1 UGB).
• Stammdaten in der Kundenkartei: bis zu Ihrem Widerspruch, längstens bis 3 Jahre nach dem letzten Termin.
• Termindaten, die wir auf unseren eigenen Server übernommen haben: 3 Jahre ab dem Termin.

Erforderlichkeit. Name, E-Mail-Adresse und Telefonnummer sind für die Terminvereinbarung erforderlich. Ohne diese Angaben können wir keinen Termin reservieren und Sie bei Terminänderungen nicht erreichen.

---

8. Bestätigungs- und Erinnerungs-E-Mails§

Zweck. Versand der Terminbestätigung, von Terminerinnerungen und von Nachrichten zu Änderungen oder Absagen Ihres Termins.

Datenkategorien. Name, E-Mail-Adresse, Termindaten (Behandlung, Datum, Uhrzeit, Salon) sowie das Protokoll darüber, ob die Nachricht zugestellt werden konnte.

Rechtsgrundlage. Art 6 Abs 1 lit b DSGVO. Termin-, Änderungs- und Erinnerungsnachrichten sind Teil der Vertragsabwicklung und keine Werbung; Sie erhalten sie nur zu einem konkreten Termin. Auf demselben Weg versenden wir auch unseren Newsletter; dieser beruht auf Ihrer Einwilligung und ist gesondert abbestellbar (Abschnitt 13).

Empfänger. Den technischen Versand dieser E-Mails besorgt in unserem Auftrag die

Plus Five Five, Inc. (Dienst „Resend“), 2261 Market Street #5039, San Francisco, CA 94114, Vereinigte Staaten von Amerika

als Auftragsverarbeiterin. Sie erhält dabei Ihre E-Mail-Adresse, den Absender, den Betreff, den Inhalt der Nachricht und das Protokoll über die Zustellung. Sie ist an unsere Weisungen gebunden; die Einzelheiten regelt ein Vertrag über die Auftragsverarbeitung nach Art 28 DSGVO (das „Data Processing Addendum“ von Resend). Die Syltron KFT (Abschnitt 5) betreibt die Anwendung, aus der der Versand angestoßen wird; den Versand selbst führt sie nicht durch. Das Postfach, in dem Ihre eingehenden Nachrichten an uns liegen, ist davon nochmals zu unterscheiden; dafür gilt Abschnitt 12.

Drittlandtransfer. Resend verarbeitet nach eigener Angabe (Abschnitt 6.1 des genannten Auftragsverarbeitungsvertrags) überwiegend in den Vereinigten Staaten von Amerika. Mit jeder Bestätigungs-, Erinnerungs- oder Änderungsnachricht ist daher eine Übermittlung in ein Drittland verbunden. Wir stützen sie auf die Standardvertragsklauseln der Europäischen Kommission nach Art 46 Abs 2 lit c DSGVO (Durchführungsbeschluss (EU) 2021/914 vom 4. Juni 2021, Modul 2 – Verantwortlicher an Auftragsverarbeiter); sie sind Bestandteil dieses Vertrags (dessen Abschnitt 6.2). Eine Kopie dieser Garantien erhalten Sie auf Anfrage unter info@oxygenihair.at.

Als ergänzende Maßnahmen hat sich Resend uns gegenüber vertraglich verpflichtet (Abschnitt 6.6 des Auftragsverarbeitungsvertrags), Behördenauskunftsersuchen nach Möglichkeit an uns zu verweisen, uns über ein Ersuchen zu unterrichten, soweit dies gesetzlich zulässig ist, und Daten Behörden nicht ohne eine rechtsverbindliche Verpflichtung offenzulegen. Technisch werden die Nachrichten auf dem Transportweg mit TLS und im gespeicherten Zustand verschlüsselt (Anhang C des Vertrags). Resend gibt darüber hinaus an, unter dem EU-U.S. Data Privacy Framework zertifiziert zu sein (Abschnitt 11.1 des Vertrags); wir stützen die Übermittlung gleichwohl auf die Standardvertragsklauseln. Zum Rechtsstand und zum verbleibenden Restrisiko siehe Abschnitt 19.

Speicherdauer. Das Protokoll über die Zustellung bewahren wir nur so lange auf, wie es für den Nachweis der Zustellung und für die Fehlersuche erforderlich ist; danach löschen wir es. Der Nachweis der Terminvereinbarung selbst wird nach den Fristen in Abschnitt 7 aufbewahrt.

Erforderlichkeit. Ohne E-Mail-Adresse können wir Ihnen keine Bestätigung und keine Erinnerung zusenden.

---

9. Google Maps – nur nach Ihrer Einwilligung§

Zweck. Im Kontaktbereich unserer Startseite binden wir eine Kartendarstellung ein, damit Sie unseren Standort finden und eine Route planen können. Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.

Die Karte wird nicht automatisch geladen. Sie sehen zunächst nur einen Platzhalter mit unserer Adresse. Erst wenn Sie diesen aktiv anklicken und damit einwilligen, wird die Karte nachgeladen (sogenannte Zwei-Klick-Lösung). Der Platzhalter selbst lädt keine Inhalte von Google.

Datenkategorien. Mit dem Laden der Karte stellt Ihr Browser eine direkte Verbindung zu Servern von Google her. Google erhält dabei Ihre IP-Adresse, die Information, dass Sie diese Unterseite aufgerufen haben, sowie Angaben zu Ihrem Browser und Betriebssystem. Google kann dabei Informationen auf Ihrem Endgerät speichern oder auf dort gespeicherte Informationen zugreifen (Cookies und vergleichbare Technologien). Auf die weitere Verarbeitung durch Google haben wir keinen Einfluss.

Rechtsgrundlage. Ihre Einwilligung nach Art 6 Abs 1 lit a DSGVO sowie – für das Speichern von bzw. den Zugriff auf Informationen in Ihrem Endgerät – § 165 Abs 3 TKG 2021. Sie können Ihre Einwilligung jederzeit und ohne Angabe von Gründen mit Wirkung für die Zukunft widerrufen; der Widerruf ist genauso einfach wie die Erteilung. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Drittlandtransfer. Eine Übermittlung an die Google LLC in den Vereinigten Staaten von Amerika kann nicht ausgeschlossen werden. Google LLC ist unter dem EU-U.S. Data Privacy Framework zertifiziert; für Übermittlungen an zertifizierte Unternehmen besteht ein Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 (Durchführungsbeschluss (EU) 2023/1795, Art 45 DSGVO). Wir weisen darauf hin, dass die Gültigkeit dieses Beschlusses Gegenstand eines beim Gerichtshof der Europäischen Union anhängigen Rechtsmittelverfahrens ist – siehe Abschnitt 19.

Speicherdauer. Die Speicherdauer der von Google gesetzten Cookies bestimmt Google; die uns bekannten Laufzeiten führen wir in Abschnitt 11 an. Ihre Einwilligungsentscheidung selbst wird in Ihrem Browser gespeichert (Abschnitt 11).

Erforderlichkeit. Die Einwilligung ist vollständig freiwillig. Ohne Einwilligung entstehen Ihnen keine Nachteile: Unsere Adresse – Wiedner Hauptstraße 134/136, 1050 Wien – zeigen wir Ihnen als Text an, und Sie können die Karte bei Bedarf über einen Link direkt bei Google öffnen.

---

10. Team-Fotos auf der Seite „Über uns“§

Zweck. Die Fotos unseres Teams stammen aus dem Bilderspeicher unserer Salonsoftware Phorest (Abschnitt 7). So bleiben sie stets aktuell, und wir vermeiden eine doppelte Datenhaltung.

Datenkategorien. Damit Ihr Browser die Bilder anzeigen kann, ruft er sie unmittelbar bei diesem Bilderspeicher ab. Dabei werden Ihre IP-Adresse sowie Angaben zu Browser und Betriebssystem übertragen. Nach unserer Prüfung werden dabei keine Cookies gesetzt und keine Kennungen auf Ihrem Gerät gespeichert.

Rechtsgrundlage. Art 6 Abs 1 lit f DSGVO. Unser berechtigtes Interesse ist die Auslieferung der Teamfotos aus derselben, ohnehin genutzten Quelle wie in unserer Salonsoftware.

Empfänger. Der Bilderspeicher wird von Phorest verwaltet und von einem Dienstleister von Phorest betrieben (Abschnitt 7).

Drittlandtransfer. Die Bilder werden von einem Server in Irland und damit innerhalb des Europäischen Wirtschaftsraums abgerufen. Eine Übermittlung in ein Drittland ist damit nicht verbunden.

Speicherdauer. Wir speichern in diesem Zusammenhang keine Daten über Sie.

Erforderlichkeit. Die Übertragung Ihrer IP-Adresse ist technisch unvermeidbar, wenn ein Bild von einem anderen Server geladen wird.

---

11. Cookies und Speicherung in Ihrem Browser§

Diese Website setzt selbst keine Cookies. Sie legt lediglich zwei Arten von Einträgen im Speicher Ihres Browsers ab, und zwar nur für technische Zwecke: einen Zwischenspeicher für die Preis- und Aktionsübersicht und einen Merker für Ihre Entscheidung über die Google-Karte. Eine Analyse, ein Tracking, eine Profilbildung oder Werbung findet nicht statt. Eine kompakte Übersicht finden Sie auch unter Cookies.

Der Chat speichert nichts in Ihrem Browser. Der Gesprächsverlauf wird nur so lange angezeigt, wie die Seite geöffnet ist; gespeichert wird er auf unserem Server (Abschnitt 5). Laden Sie die Seite neu oder wechseln Sie die Seite, beginnt im Chatfenster ein neues Gespräch.

Der Zwischenspeicher verkürzt Ladezeiten und verringert die übertragene Datenmenge. Sein Inhalt gilt nach fünf Minuten als veraltet und wird beim nächsten Aufruf ersetzt. Er enthält weder eine Kennung noch personenbezogene Daten.

Der Einwilligungsmerker hält Ihre Entscheidung über das Laden der Google-Karte fest – die Zustimmung ebenso wie die Ablehnung und den Widerruf –, damit wir Sie nicht erneut fragen und Ihre Entscheidung umsetzen können. Er bleibt bestehen, bis Sie widerrufen oder den Speicher Ihres Browsers löschen. Der Eintrag liegt ausschließlich auf Ihrem Gerät und ist für uns nicht abrufbar; er dient deshalb nicht als Nachweis der Einwilligung nach Art 7 Abs 1 DSGVO.

Beide Einträge sind unbedingt erforderlich, damit wir Ihnen den von Ihnen gewünschten Dienst bereitstellen können; Rechtsgrundlage ist § 165 Abs 3 dritter Satz TKG 2021. Daten werden dabei nicht an Dritte übermittelt und Nutzerprofile nicht gebildet.

Einwilligungspflichtig ist allein die Google-Karte (Abschnitt 9). Erst wenn Sie ihr Laden gestatten, speichert Google Cookies auf Ihrem Gerät und greift auf dort gespeicherte Informationen zu. Sie dienen der Bereitstellung und Absicherung der Karte und den Karteneinstellungen; ihre Laufzeit bestimmt Google und beträgt typischerweise bis zu 13 Monate. Rechtsgrundlage sind Art 6 Abs 1 lit a DSGVO und § 165 Abs 3 zweiter Satz TKG 2021.

Sie können die Speicherung jederzeit über die Einstellungen Ihres Browsers löschen oder unterbinden. Dann werden Preise und Aktionen bei jedem Aufruf neu geladen; die Website funktioniert im Übrigen unverändert.

---

12. Kontaktaufnahme per E-Mail und Telefon§

Kontaktbereich auf der Startseite. Der Kontaktbereich enthält kein Formular. Ein Klick öffnet Ihr eigenes E-Mail-Programm mit einer vorbereiteten Nachricht. Es findet keine Verarbeitung Ihrer Eingaben auf unserer Website statt – die Nachricht verlässt Ihr Gerät erst, wenn Sie sie in Ihrem eigenen E-Mail-Programm absenden.

Sobald uns Ihre E-Mail erreicht, verarbeiten wir die darin enthaltenen Angaben (Name, E-Mail-Adresse, Inhalt der Nachricht, gegebenenfalls Telefonnummer), um Ihre Anfrage zu beantworten.

• Rechtsgrundlage: Art 6 Abs 1 lit b DSGVO, wenn Ihre Anfrage der Anbahnung oder Abwicklung eines Termins dient; sonst Art 6 Abs 1 lit f DSGVO. Unser berechtigtes Interesse ist die Beantwortung von Anfragen und die Bearbeitung möglicher Anschlussfragen.
• Speicherdauer: 6 Monate ab abschließender Bearbeitung. Führt Ihre Anfrage zu einem Termin, gelten die Fristen aus Abschnitt 7. Geschäftsbriefe im Sinne des § 212 Abs 1 UGB bewahren wir 7 Jahre auf.
• Empfänger: der Anbieter unseres E-Mail-Postfachs als Auftragsverarbeiter nach Art 28 DSGVO. Wen wir dafür einsetzen, teilen wir Ihnen auf Anfrage mit.
• Drittlandtransfer: Soweit dabei außerhalb des Europäischen Wirtschaftsraums verarbeitet wird, stützen wir die Übermittlung auf die Standardvertragsklauseln der Europäischen Kommission (Art 46 Abs 2 lit c DSGVO); Näheres in Abschnitt 19.

Telefonische Kontaktaufnahme. Wenn Sie uns anrufen, verarbeiten wir Ihre Telefonnummer sowie die Angaben, die Sie uns im Gespräch machen, um Ihr Anliegen zu bearbeiten. Rechtsgrundlage: Art 6 Abs 1 lit b bzw. lit f DSGVO. Wir zeichnen Telefonate nicht auf.

Erforderlichkeit. Die Kontaktaufnahme ist freiwillig; ohne Angabe einer Rückmeldemöglichkeit können wir Ihnen allerdings nicht antworten.

---

13. Abmeldung vom Newsletter über einen persönlichen Link§

Auf dieser Website gibt es kein Newsletter-Anmeldeformular. Es gibt ausschließlich eine Abmeldeseite, die Sie über einen persönlichen Link in einer unserer E-Mails erreichen.

Zweck. Umsetzung Ihres Widerrufs bzw. Ihres Widerspruchs gegen den Erhalt von Newslettern und Werbenachrichten – und der Nachweis, dass wir diesen umgesetzt haben.

Datenkategorien. Die im Link enthaltene persönliche Kennung und die dieser Kennung zugeordnete E-Mail-Adresse. Ihr bestehender Eintrag im Verteiler wird dabei auf „abgemeldet“ gesetzt; der Zeitpunkt der Abmeldung und Ihre IP-Adresse werden nicht erhoben.

Rechtsgrundlage. Art 6 Abs 1 lit c DSGVO: Wir sind gesetzlich verpflichtet, Ihren Widerruf bzw. Widerspruch umzusetzen (Art 7 Abs 3 und Art 21 Abs 3 DSGVO, § 174 TKG 2021). Der Widerruf muss so einfach sein wie die Erteilung der Einwilligung – deshalb genügt ein Klick, ohne Anmeldung und ohne Angabe von Gründen. Für den Nachweis, dass wir Ihren Widerruf umgesetzt haben, stützen wir uns auf Art 6 Abs 1 lit c iVm Art 7 Abs 1 und Art 5 Abs 2 DSGVO (Rechenschaftspflicht), ergänzend auf Art 6 Abs 1 lit f DSGVO; unser berechtigtes Interesse ist es, belegen zu können, dass Sie keine Werbenachrichten mehr erhalten wollten.

Empfänger. Die Abmeldung verarbeiten wir auf unserem eigenen Server (Abschnitt 5); dort wird auch der Verteiler geführt. Für den Versand der Newsletter gilt Abschnitt 8.

Drittlandtransfer. Es gelten die Angaben in den Abschnitten 5 und 8; eine Übersicht finden Sie in Abschnitt 18.

Speicherdauer. Ihre Abmeldung bleibt in Ihrem Eintrag im Verteiler vermerkt, solange wir Werbenachrichten versenden – nur so können wir sicherstellen, dass Sie keine mehr erhalten. Dieser Vermerk ist zugleich unser Nachweis; einen weiteren, gesonderten Abmeldenachweis führen wir nicht.

Erforderlichkeit. Ohne die im Link enthaltene Kennung können wir Ihre Abmeldung nicht der richtigen E-Mail-Adresse zuordnen. Sie können sich alternativ jederzeit formlos an info@oxygenihair.at wenden.

---

14. Vorher/Nachher-Fotos unserer Gäste§

Zweck. Auf der Ergebnisseite und auf einzelnen Behandlungsseiten zeigen wir Fotos von Behandlungsergebnissen unserer Gäste, um unsere Arbeit darzustellen.

Datenkategorien. Bildnis der abgebildeten Person, gegebenenfalls Vorname oder Initialen sowie die Bezeichnung der Behandlung.

Rechtsgrundlage. Ausschließlich die vorab eingeholte, ausdrückliche und schriftlich dokumentierte Einwilligung der abgebildeten Person nach Art 6 Abs 1 lit a DSGVO. Lässt das Bild Rückschlüsse auf einen Gesundheitszustand zu – etwa bei Aufnahmen der Kopfhaut –, zusätzlich Art 9 Abs 2 lit a DSGVO. Unabhängig davon holen wir die Zustimmung im Sinne des § 78 UrhG (Recht am eigenen Bild) ein.

Widerruf. Sie können Ihre Einwilligung jederzeit und ohne Angabe von Gründen mit Wirkung für die Zukunft widerrufen – formlos an info@oxygenihair.at. Wir entfernen die Aufnahme dann unverzüglich von unserer Website. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Veröffentlichung bleibt unberührt.

Empfänger. Die Fotos sind über unsere Website öffentlich abrufbar und damit für jede Person mit Internetzugang einsehbar. Ausgeliefert werden sie beim Betrieb der Website (Abschnitt 5).

Speicherdauer. Bis zum Widerruf der Einwilligung.

Erforderlichkeit. Es besteht keinerlei Verpflichtung, einer Veröffentlichung zuzustimmen. Die Behandlung selbst und ihr Preis hängen in keiner Weise davon ab.

---

15. Bewertungen und Erfahrungsberichte§

Soweit wir auf dieser Website Bewertungen oder Erfahrungsberichte von Gästen anzeigen, gilt:

Datenkategorien. Name oder Kürzel der bewertenden Person, Bewertungstext, Datum, gegebenenfalls Sternebewertung.

Rechtsgrundlage. Bei Zitaten, die uns Gäste ausdrücklich zur Veröffentlichung überlassen haben: Art 6 Abs 1 lit a DSGVO (Einwilligung, jederzeit widerrufbar). Bei Bewertungen, die die betreffende Person selbst öffentlich abgegeben hat und die wir unverändert wiedergeben: Art 6 Abs 1 lit f DSGVO; unser berechtigtes Interesse ist die Darstellung authentischer Rückmeldungen zu unserer Arbeit. Sie können der Wiedergabe jederzeit widersprechen (Art 21 DSGVO).

Empfänger / Drittlandtransfer. Die Bewertungen werden von uns als Text in die Seite eingefügt; Inhalte von Bewertungsportalen binden wir nicht ein, es findet also kein Datenfluss zu Dritten statt.

Speicherdauer. Bis zum Widerruf bzw. bis zu Ihrem Widerspruch.

Erforderlichkeit. Die Abgabe einer Bewertung ist freiwillig.

---

16. Links zu externen Angeboten§

Diese Website enthält Links auf externe Angebote:

• die Buchungsseite von Phorest und den Gutscheinshop von Phorest (für Gutscheine gelten ergänzend unsere Gutschein-Bedingungen),
• unsere Profile auf Instagram, Facebook, TikTok und YouTube,
• im Seitenfuß die Website des Unternehmens, das diese Website erstellt hat und betreibt.

Es handelt sich um reine Verlinkungen. Es sind keine Social-Media-Plugins, keine Vorschauelemente und keine eingebetteten Inhalte dieser Anbieter auf unserer Website eingebunden. Solange Sie einen Link nicht anklicken, werden keine Daten an die betreffenden Anbieter übermittelt.

Phorest ist dabei gesondert zu betrachten. Buchen Sie über die Buchungsseite einen Termin oder kaufen Sie im Gutscheinshop einen Gutschein, so verarbeitet Phorest diese Angaben in unserem Auftrag (Abschnitt 7): Ihre Termin- und Gutscheindaten gelangen in unsere Kundenkartei, und dafür bleiben wir verantwortlich. Nur soweit Phorest daneben für den Betrieb der eigenen Plattform verarbeitet, ist Phorest dafür selbst verantwortlich; insoweit gelten dessen Datenschutzbestimmungen.

Bei den übrigen Links – den Profilen in sozialen Netzwerken und dem Link im Seitenfuß – verlassen Sie mit dem Anklicken unsere Website. Ab diesem Zeitpunkt ist der jeweilige Anbieter für die Datenverarbeitung verantwortlich; auf diese Verarbeitung haben wir keinen Einfluss.

Über diese Website findet kein Warenverkauf und kein Versand statt.

---

17. Begleitpersonen bei Paar- und Gruppenbuchungen (Information nach Art 14 DSGVO)§

Wenn Sie über die Chat-Assistentin oder telefonisch einen Termin für sich und eine weitere Person buchen, geben Sie uns Daten dieser Begleitperson. Diese Person hat uns ihre Daten nicht selbst gegeben. Für sie gilt daher Art 14 DSGVO – und dieser Abschnitt richtet sich unmittelbar an sie:

Woher wir Ihre Daten haben. Aus der Buchung, die eine andere Person – in der Regel Ihre Begleitung – für Sie vorgenommen hat.

Welche Kategorien wir verarbeiten. Vor- und Nachname, gewünschte Behandlung, Termin, gegebenenfalls die gewünschte Mitarbeiterin bzw. der gewünschte Mitarbeiter, gegebenenfalls E-Mail-Adresse oder Telefonnummer, sofern diese für Sie angegeben wurden.

Zweck und Rechtsgrundlage. Reservierung und Durchführung Ihres Termins: Art 6 Abs 1 lit b DSGVO, soweit auch mit Ihnen ein Behandlungsvertrag zustande kommt; im Übrigen Art 6 Abs 1 lit f DSGVO. Unser berechtigtes Interesse ist die Ermöglichung gemeinsamer Termine, wie sie von unseren Gästen ausdrücklich gewünscht werden.

Empfänger. Wie in Abschnitt 7 (Terminsystem) und Abschnitt 8 (E-Mail-Versand) beschrieben.

Speicherdauer. Wie in Abschnitt 7 beschrieben.

Wann wir Sie informieren. Senden wir Ihnen selbst eine Nachricht – etwa eine Terminbestätigung –, weisen wir Sie darin auf diese Datenschutzerklärung hin (Art 14 Abs 3 lit b DSGVO). Liegen uns keine Kontaktdaten von Ihnen vor, erhalten Sie diesen Hinweis spätestens einen Monat nach Erhalt Ihrer Daten, jedenfalls aber bei Ihrem Termin im Salon (Art 14 Abs 3 lit a DSGVO); zusätzlich bitten wir die buchende Person, Sie auf diese Erklärung hinzuweisen.

Ihre Rechte. Ihnen stehen sämtliche in Abschnitt 22 genannten Rechte zu, insbesondere das Recht auf Auskunft und das Widerspruchsrecht nach Art 21 DSGVO.

Bitte an die buchende Person: Geben Sie Daten einer Begleitperson bitte nur an, wenn diese damit einverstanden ist, und weisen Sie sie auf diese Datenschutzerklärung hin.

---

18. Übersicht der Empfänger§

Setzt die Syltron KFT im Einzelfall weitere Dienstleister ein, bindet sie diese in gleicher Weise; eine aktuelle Liste stellen wir Ihnen auf Anfrage zur Verfügung. Dasselbe gilt für die Dienstleister, die Phorest ihrerseits einsetzt. Eine formlose Nachricht an info@oxygenihair.at genügt. Die von Resend eingesetzten Unterauftragsverarbeiter veröffentlicht Resend unter https://resend.com/legal/subprocessors und kündigt Änderungen vorab an.

Darüber hinaus geben wir Ihre Daten nur weiter, wenn wir dazu gesetzlich verpflichtet sind oder es zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist. Wir verkaufen keine Daten und geben sie nicht zu Werbezwecken an Dritte weiter.

---

19. Übermittlung in Drittländer und die dafür bestehenden Garantien§

Ein „Drittland“ ist jeder Staat außerhalb des Europäischen Wirtschaftsraums. Auf dieser Website kommen Drittlandübermittlungen in diesen Fällen vor:

• OpenAI (Abschnitt 6.4) – unser Vertragspartner ist die irische Gesellschaft, eine Weiterübermittlung an Konzernunternehmen in den USA ist jedoch möglich,
• Resend (Abschnitt 8) – der Versand unserer Bestätigungs-, Erinnerungs- und Änderungs-E-Mails sowie des Newsletters wird nach Angabe des Anbieters überwiegend in den Vereinigten Staaten von Amerika verarbeitet,
• Cloudflare (Abschnitt 18) – der Anwendung ist eine Schicht zur Verschlüsselung der Verbindung und zur Abwehr von Überlastungs- und Missbrauchsangriffen vorgeschaltet, die unsere Hosterin einsetzt; deren Anbieterin hat ihren Sitz in den Vereinigten Staaten von Amerika und verfügt über ein weltweites Servernetz, sodass eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums insoweit nicht ausgeschlossen ist,
• Google Maps (Abschnitt 9) – nur nach Ihrer Einwilligung.

Die Anwendung samt Datenbank (Abschnitt 5) läuft auf einem Server in Ungarn, die Auslieferung der öffentlich abrufbaren Seiten über Rechenzentren innerhalb der Europäischen Union. Beides liegt damit innerhalb der Europäischen Union; für den Betrieb selbst ist keine Übermittlung in ein Drittland verbunden – wohl aber für die ihm vorgeschaltete Schicht, wie im vorstehenden Punkt beschrieben. Auch das Terminsystem und die Kundenkartei (Abschnitt 7) verbleiben nach Angabe des Anbieters innerhalb der Europäischen Union.

Welche Garantien bestehen:

• Standardvertragsklauseln der Europäischen Kommission nach Art 46 Abs 2 lit c DSGVO. Sie sind Bestandteil unseres Vertrags mit OpenAI und decken dort die Weiterübermittlung in die Vereinigten Staaten von Amerika ab. Ebenso sind sie Bestandteil unseres Vertrags mit der Plus Five Five, Inc. (Resend) und decken dort den E-Mail-Versand ab – dieser Vertrag bezieht den Durchführungsbeschluss (EU) 2021/914 vom 4. Juni 2021 in seinem Modul 2 (Verantwortlicher an Auftragsverarbeiter) ein. Eine Kopie dieser Garantien erhalten Sie auf Anfrage unter info@oxygenihair.at.
• Ergänzende Maßnahmen neben den Standardvertragsklauseln: Verschlüsselung auf dem Transportweg und im gespeicherten Zustand, die vertragliche Zusage unserer Auftragsverarbeiterin, behördliche Auskunftsersuchen nach Möglichkeit an uns zu verweisen und uns über ein Ersuchen zu unterrichten, soweit ihr das gesetzlich erlaubt ist, sowie der Verzicht auf eine freiwillige Herausgabe von Daten an Behörden (Näheres in Abschnitt 8).
• Angemessenheitsbeschluss EU-U.S. Data Privacy Framework (Durchführungsbeschluss (EU) 2023/1795 vom 10. Juli 2023, Art 45 DSGVO). Er gilt nicht pauschal für „die USA“, sondern nur für US-Unternehmen, die in der Data Privacy Framework List eingetragen sind. Google LLC ist dort eingetragen, ebenso die OpenAI, L.L.C.; die Übermittlung an OpenAI stützen wir gleichwohl auf die Standardvertragsklauseln. Die Plus Five Five, Inc. (Resend) erklärt in ihrem Auftragsverarbeitungsvertrag, gegenüber dem US-Handelsministerium die Einhaltung der Grundsätze des EU-U.S. Data Privacy Framework zertifiziert zu haben. Wir haben diese Erklärung nicht zur Grundlage der Übermittlung gemacht, sondern stützen uns auch hier auf die Standardvertragsklauseln.

Zum Rechtsstand: Die Gültigkeit des Angemessenheitsbeschlusses ist Gegenstand eines beim Gerichtshof der Europäischen Union anhängigen Rechtsmittelverfahrens. Wir beobachten dieses Verfahren und stützen unsere Übermittlungen deshalb, wo immer möglich, zusätzlich auf Standardvertragsklauseln.

Restrisiko. Trotz dieser Garantien lässt sich nicht vollständig ausschließen, dass Behörden in Drittländern auf übermittelte Daten zugreifen und dass Ihnen dort nicht dieselben Rechtsbehelfe zur Verfügung stehen wie in der Europäischen Union. Aus diesem Grund halten wir die im Chat übermittelten Daten so gering wie möglich und bitten Sie, keine Gesundheitsdaten einzugeben (Abschnitt 6.7).

---

20. Speicher- und Löschfristen im Überblick§

Diese Fristen sind unser Löschkonzept: Zu ihnen verpflichten wir uns, und nach ihnen löschen wir. Für die Daten, die bei Phorest, bei OpenAI und beim E-Mail-Versand anfallen, gelten die in den Abschnitten 6 bis 8 beschriebenen Fristen.

Verlangen Sie die Löschung Ihrer Daten (Abschnitt 22), führen wir sie unabhängig davon unverzüglich durch. Läuft ausnahmsweise ein gerichtliches oder behördliches Verfahren, in dem die Daten von Bedeutung sind, bewahren wir sie so lange auf, wie es dafür erforderlich ist.

---

21. Sicherheit Ihrer Daten (Art 32 DSGVO)§

Wir treffen geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Dazu zählen insbesondere:

• Verschlüsselte Übertragung aller Verbindungen zu dieser Website.
• Zugriffsbeschränkung im Betrieb: Auf Chatverläufe und Kundendaten greifen nur die Personen zu, die sie für ihre Aufgabe benötigen. Unser Verwaltungsbereich ist durch eine persönliche Anmeldung geschützt.
• Datenminimierung als Sicherheitsmaßnahme: kurz bemessene Löschfristen (Abschnitt 20), keine Speicherung von Zahlungsdaten auf dieser Website, ausdrückliche Bitte, keine Gesundheitsdaten in den Chat einzugeben.
• Begrenzung der Anfragenzahl zur Abwehr automatisierter Angriffe.
• Sorgfältige Auswahl der Auftragsverarbeiter und vertragliche Bindung nach Art 28 DSGVO.
• Belehrung unserer Mitarbeiterinnen und Mitarbeiter über das Datengeheimnis nach § 6 Abs 3 DSG.
• Meldeprozess für Datenschutzverletzungen binnen 72 Stunden an die Datenschutzbehörde (Art 33 DSGVO).

Einen Punkt legen wir ausdrücklich offen: Der Zugriff auf einen einzelnen Chatverlauf ist nicht durch ein Passwort geschützt (Abschnitt 6.9). Einen darüber hinausgehenden Schutz sagen wir Ihnen nicht zu.

Bitte beachten Sie, dass die Datenübertragung im Internet Sicherheitslücken aufweisen kann. Ein lückenloser Schutz vor dem Zugriff durch Dritte ist nicht möglich.

---

22. Ihre Rechte§

Ihnen stehen die folgenden Rechte zu. Die Ausübung ist für Sie unentgeltlich. Wir antworten unverzüglich, jedenfalls aber innerhalb eines Monats nach Eingang Ihres Antrags; bei komplexen Anträgen kann sich diese Frist um bis zu zwei Monate verlängern, worüber wir Sie informieren (Art 12 Abs 3 DSGVO).

Ihr Widerspruchsrecht nach Art 21 DSGVO§

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten Widerspruch einzulegen, die auf Grundlage unseres berechtigten Interesses (Art 6 Abs 1 lit f DSGVO) erfolgt.

Das betrifft auf dieser Website insbesondere:

• die Speicherung des Chatverlaufs zur Beweissicherung, zur Bearbeitung von Reklamationen und zur Fehlersuche (Abschnitt 6.3),
• die Wiedererkennung als Stammgast und den Vorschlag Ihrer bisherigen Behandlungen (Abschnitt 6.5),
• die Protokollierung Ihrer IP-Adresse zur Missbrauchsabwehr (Abschnitt 6.6),
• die Auswertung von Gesprächsausschnitten zur Verbesserung der Assistentin (Abschnitt 6.12),
• die Zugriffsprotokolle des Servers (Abschnitt 5),
• die Wiedergabe öffentlich abgegebener Bewertungen (Abschnitt 15).

Wir verarbeiten die betroffenen Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Widerspruch gegen Direktwerbung: Werden Ihre Daten für Direktwerbung verarbeitet, haben Sie das Recht, jederzeit ohne Angabe von Gründen Widerspruch einzulegen. Danach verwenden wir Ihre Daten nicht mehr für diesen Zweck.

Ein formloser Hinweis genügt: info@oxygenihair.at oder +43 664 75049038. Ein bestimmtes Formular ist nicht erforderlich.

Widerruf von Einwilligungen§

Soweit wir Daten auf Grundlage Ihrer Einwilligung verarbeiten (Google Maps, Vorher/Nachher-Fotos, gegebenenfalls gesundheitsbezogene Angaben), können Sie diese jederzeit und ohne Angabe von Gründen mit Wirkung für die Zukunft widerrufen. Der Widerruf ist genauso einfach wie die Erteilung der Einwilligung. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt (Art 7 Abs 3 DSGVO).

Widerrufswege: für die Google-Karte über die Schaltfläche unter der geladenen Karte oder über den Bedienblock auf der Seite Cookies & Speicherung, die im Seitenfuß jeder Seite verlinkt ist; im Übrigen formlos an info@oxygenihair.at. Eine Schaltfläche „Cookie-Einstellungen“ im Seitenfuß gibt es nicht.

Ein praktischer Hinweis zur Auskunft über Chatverläufe: Wir identifizieren Besucherinnen und Besucher des Chats nicht dauerhaft und speichern bewusst keine zusätzlichen Kennungen. Wir können einen Chatverlauf daher nur zuordnen, wenn Sie uns die im Chat verwendete E-Mail-Adresse oder Telefonnummer nennen. Können wir Sie nicht identifizieren, sind wir nach Art 11 Abs 2 DSGVO nicht verpflichtet, zusätzliche Daten allein zur Identifizierung zu erheben.

Beschwerderecht bei der Aufsichtsbehörde§

Wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer Daten gegen das Datenschutzrecht verstößt, können Sie sich jederzeit bei uns beschweren – oder unmittelbar bei der Aufsichtsbehörde:

Österreichische Datenschutzbehörde Barichgasse 40–42, 1030 Wien, Österreich Telefon: +43 1 52 152-0 E-Mail: dsb@dsb.gv.at Web: https://www.dsb.gv.at/ Beschwerde einbringen: https://dsb.gv.at/eingabe-an-die-dsb/beschwerde

Beachten Sie die Frist des § 24 Abs 4 DSG: Der Anspruch auf Behandlung einer Beschwerde erlischt, wenn sie nicht binnen eines Jahres ab Kenntnis vom beschwerenden Ereignis, längstens aber binnen drei Jahren ab dem Ereignis eingebracht wird.

Unabhängig davon steht Ihnen der Rechtsweg zu den ordentlichen Gerichten offen, insbesondere für Schadenersatzansprüche nach Art 82 DSGVO.

---

23. Änderungen dieser Datenschutzerklärung§

Wir passen diese Datenschutzerklärung an, wenn sich unsere Website, die eingesetzten Dienste oder die Rechtslage ändern. Maßgeblich ist die jeweils auf https://hairspawien.at/datenschutz veröffentlichte Fassung. Das Datum der letzten Änderung finden Sie am Ende dieses Dokuments.

Bei wesentlichen Änderungen – etwa der Aufnahme eines neuen Empfängers oder eines neuen Zwecks – weisen wir Sie zusätzlich in geeigneter Form darauf hin. Beruht eine Verarbeitung auf Ihrer Einwilligung, holen wir diese vor der Änderung neu ein.

---

Oxygeni Hair GmbH · Fassung 1.2 · Stand 27. August 2026