Datenschutzerklärung

1. Verantwortliche

Verantwortlich für die Datenverarbeitung auf dieser Website ist:

2. Datenschutzbeauftragte

Eine Datenschutzbeauftragte ist nicht bestellt. Die Voraussetzungen des Art. 37 DSGVO und des § 38 BDSG liegen nach derzeitiger Einschätzung nicht vor, weil nicht mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind.

Bei allen Fragen zum Datenschutz wenden Sie sich bitte unmittelbar an die oben genannte Verantwortliche.

3. Grundsätze

Wir erheben nur, was für die Vermittlung tatsächlich nötig ist. Gesundheitsdaten verarbeiten wir ausschließlich serverseitig. Vollständige IP-Adressen speichern wir nicht. Alles, was wir speichern, hat eine Löschfrist, die automatisch überwacht wird.

4. Hosting und Server-Logfiles

Diese Website wird bei der Vercel Inc. betrieben. Die Auslieferung und die Ausführung der Serverfunktionen erfolgen in der Region Frankfurt am Main (fra1).

Beim Aufruf der Website verarbeitet der Server automatisch technische Zugriffsdaten wie aufgerufene Seite, Zeitpunkt, übertragene Datenmenge, Browsertyp und Betriebssystem. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im sicheren und störungsfreien Betrieb der Website.

Mit Vercel besteht ein Auftragsverarbeitungsvertrag. Für Übermittlungen in die USA gelten die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).

5. Haaranalyse-Formular — Gesundheitsdaten

Im Haaranalyse-Formular erheben wir: Geschlecht, Altersgruppe, betroffene Bereiche, Stadium des Haarausfalls, Dauer, familiäre Veranlagung, bisherige Behandlungen und Medikamente, gewünschte Dichte und Zeitrahmen sowie Ihre Kontaktdaten.

Ein Teil dieser Angaben sind Gesundheitsdaten im Sinne von Art. 9 Abs. 1 DSGVO. Wir verarbeiten sie ausschließlich auf Grundlage Ihrer ausdrücklichen Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO.

Die Einwilligung holen wir getrennt für jeden Zweck ein: für die Verarbeitung selbst, für die Weitergabe an den beratenden Heilpraktiker und für die Übermittlung an die Partnerklinik. Der Kontakt über WhatsApp ist zusätzlich und vollständig freiwillig.

Sie können jede Einwilligung jederzeit ohne Angabe von Gründen für die Zukunft widerrufen — formlos per E-Mail an info@mc-este.com. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt davon unberührt. Nach einem Widerruf löschen wir die betroffenen Daten unverzüglich.

Die Bereitstellung der Daten ist weder gesetzlich noch vertraglich vorgeschrieben. Ohne die Angaben können wir Ihre Anfrage allerdings nicht bearbeiten.

6. Foto-Upload

Sie können freiwillig bis zu fünf Fotos Ihrer Kopfhaut hochladen. Fotos sind für die Anfrage nicht erforderlich — Sie können den Schritt überspringen.

Ein Upload ist erst möglich, nachdem Sie ausdrücklich eingewilligt haben. Diese Einwilligung wird serverseitig protokolliert; ohne den Nachweis wird der Upload technisch abgelehnt. Gespeichert werden dabei der Einwilligungstext, der Zeitpunkt, die Sprachfassung sowie eine gekürzte IP-Adresse als Nachweis nach Art. 7 Abs. 1 DSGVO.

Die Fotos liegen in einem privaten, nicht öffentlich zugänglichen Speicher in der EU. Ein Zugriff ist ausschließlich serverseitig möglich. Standortdaten und andere Metadaten (EXIF) werden bereits in Ihrem Browser entfernt, bevor die Datei übertragen wird.

Fotos löschen wir spätestens nach drei Monaten — also früher als Ihre Kontaktdaten. Bei einem Widerruf löschen wir sie sofort.

7. Übermittlung an die Partnerklinik in der Türkei

Zweck unserer Tätigkeit ist die Vermittlung an eine Partnerklinik in Istanbul. Dafür übermitteln wir Ihre Angaben — auf Wunsch einschließlich der Fotos — an diese Klinik, damit sie Ihren Fall einschätzen und Ihnen ein Angebot machen kann.

Die Türkei ist ein Drittland im Sinne der DSGVO. Ein Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO besteht für die Türkei nicht. Das bedeutet: Das dortige Datenschutzniveau entspricht möglicherweise nicht dem der Europäischen Union, und die Durchsetzung Ihrer Rechte kann schwieriger sein als innerhalb der EU.

Wir weisen Sie darauf ausdrücklich hin, bevor Sie einwilligen. Die Übermittlung erfolgt auf Grundlage Ihrer ausdrücklichen Einwilligung nach Art. 49 Abs. 1 lit. a DSGVO.

Partnerklinik ist die Scala Clinic, Dikilitaş, Yenidoğan Sok. No:7, 34349 Beşiktaş/İstanbul (Türkei). Ohne Ihre Einwilligung übermitteln wir nichts.

8. Weitergabe an den beratenden Heilpraktiker

Das Beratungsgespräch führt ein Heilpraktiker in Bergkamen. Damit er Sie beraten kann, geben wir ihm Ihre Angaben weiter. Auch das geschieht nur mit Ihrer gesonderten Einwilligung.

Der beratende Heilpraktiker ist Bünyamin Bas, Bergkamen.

9. E-Mail-Versand

Für den Versand von Bestätigungs- und Benachrichtigungs-E-Mails nutzen wir den Dienst Resend (Resend, Inc., USA). Die Benachrichtigung an uns enthält die Angaben aus Ihrem Formular; Ihre Bestätigungsmail enthält eine Zusammenfassung.

Dabei werden Daten in die USA übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die Bearbeitung Ihrer Anfrage; für die enthaltenen Gesundheitsdaten stützen wir uns zusätzlich auf Ihre Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO.

Mit Resend besteht ein Auftragsverarbeitungsvertrag, der die Standardvertragsklauseln der EU-Kommission für die Übermittlung in die USA enthält.

10. Datenbank und Dateispeicher

Ihre Angaben und Fotos speichern wir bei der Supabase Inc. in der Region eu-central-1 (Frankfurt am Main). Der Zugriff ist ausschließlich serverseitig über einen privilegierten Schlüssel möglich; für öffentliche Zugriffsrollen sind sämtliche Rechte entzogen.

Die Verarbeitung erfolgt als Auftragsverarbeitung nach Art. 28 DSGVO auf Grundlage des Auftragsverarbeitungszusatzes von Supabase.

11. Kontaktformular und telefonische Kontaktaufnahme

Wenn Sie uns über das Kontaktformular schreiben, verarbeiten wir Name, E-Mail-Adresse, Telefonnummer, Betreff und Nachricht zur Bearbeitung Ihrer Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei vertragsbezogenen Anfragen, sonst Art. 6 Abs. 1 lit. f DSGVO.

Bitte übermitteln Sie über das Kontaktformular keine Gesundheitsdaten. Dafür ist ausschließlich das Haaranalyse-Formular vorgesehen, das die erforderliche Einwilligungsarchitektur enthält.

12. Speicherung in Ihrem Browser

Damit Sie das Haaranalyse-Formular unterbrechen und später fortsetzen können, speichern wir Ihre bisherigen Antworten lokal in Ihrem Browser (localStorage, Schlüssel „mceste-hair-analysis-draft"). Diese Daten verlassen Ihr Gerät nicht, bevor Sie das Formular absenden.

Der Entwurf wird nach dem Absenden sofort gelöscht und spätestens beim nächsten Aufruf des Formulars verworfen, wenn er älter als sieben Tage ist. Sie können ihn jederzeit selbst entfernen, indem Sie die Websitedaten in Ihrem Browser löschen. Wenn Sie ein geteiltes Gerät nutzen, empfehlen wir, das Formular in einem privaten Fenster auszufüllen.

13. Cookies und Einwilligung

Technisch notwendige Speichervorgänge nutzen wir auf Grundlage von § 25 Abs. 2 TDDDG ohne Einwilligung. Alles darüber hinaus — insbesondere Analyse — setzen wir erst nach Ihrer ausdrücklichen Einwilligung ein (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO).

Ihre Entscheidung können Sie jederzeit über den Link „Cookie-Einstellungen" im Seitenfuß ändern oder widerrufen. Zum Nachweis speichern wir Zeitpunkt, gewählte Kategorien, Banner-Version und eine gekürzte IP-Adresse für zwölf Monate.

• Notwendig: Speicherung Ihrer Cookie-Entscheidung und des Formularentwurfs. Ohne diese funktioniert die Seite nicht.
• Analyse: Google Analytics 4 — nur nach Ihrer Einwilligung. Wird vorher nicht geladen.

14. Google Analytics 4

Nur mit Ihrer Einwilligung nutzen wir Google Analytics 4 (Google Ireland Limited). Der Dienst wird vor der Einwilligung nicht geladen; wir setzen zusätzlich den Consent Mode v2 mit standardmäßig verweigerter Einwilligung ein. Bei einem Widerruf entfernen wir die Skripte und löschen die zugehörigen Cookies.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO. Eine Übermittlung in die USA ist nicht ausgeschlossen.

15. Google Maps

Auf der Kontaktseite können Sie eine Karte von Google Maps per Klick nachladen. Vorher wird keine Verbindung zu Google hergestellt. Mit dem Klick willigen Sie in die Übermittlung Ihrer IP-Adresse an Google ein (Art. 6 Abs. 1 lit. a DSGVO).

16. WhatsApp

Wir bieten WhatsApp als zusätzlichen Kontaktweg an. Es handelt sich um einen einfachen Link — beim bloßen Aufruf unserer Seite werden keine Daten an WhatsApp übertragen.

Wenn Sie uns über WhatsApp schreiben, gelten die Datenschutzbedingungen von WhatsApp Ireland Limited. Wir fordern über WhatsApp grundsätzlich keine Gesundheitsdaten und keine Fotos an und bitten Sie, dort keine zu senden. Nutzen Sie dafür bitte ausschließlich das Haaranalyse-Formular.

17. Empfänger Ihrer Daten

Über die genannten Zwecke hinaus geben wir Ihre Daten nicht weiter. Empfänger sind:

• Vercel Inc. — Hosting und Auslieferung der Website (Region Frankfurt).
• Supabase Inc. — Datenbank und Dateispeicher (Region Frankfurt).
• Resend, Inc. (USA) — Versand von Benachrichtigungs- und Bestätigungs-E-Mails.
• Google Ireland Limited — Analyse und Kartendienst, jeweils nur nach Ihrer Einwilligung.
• Der beratende Heilpraktiker — nur mit Ihrer gesonderten Einwilligung.
• Die Partnerklinik in Istanbul, Türkei — nur mit Ihrer gesonderten Einwilligung.

18. Speicherdauer und Löschung

Wir löschen automatisiert. Ein täglicher Lauf entfernt abgelaufene Daten.

• Fotos: spätestens drei Monate nach dem Upload.
• Angaben aus der Haaranalyse einschließlich Kontaktdaten: sechs Monate.
• Nachweise über Cookie-Einwilligungen: zwölf Monate.
• Nachweise über die Foto-Einwilligung: zwölf Monate — sie müssen die Löschung der Fotos überdauern, damit belegbar bleibt, dass eine Einwilligung vorlag.
• Bei Widerruf oder Löschverlangen: unverzüglich, unabhängig von den obigen Fristen.

19. Ihre Rechte

Sie haben uns gegenüber die folgenden Rechte. Eine formlose E-Mail an info@mc-este.com genügt; wir antworten innerhalb der gesetzlichen Frist von einem Monat.

• Auskunft über die zu Ihnen gespeicherten Daten (Art. 15 DSGVO).
• Berichtigung unrichtiger Daten (Art. 16 DSGVO).
• Löschung (Art. 17 DSGVO).
• Einschränkung der Verarbeitung (Art. 18 DSGVO).
• Datenübertragbarkeit (Art. 20 DSGVO).
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO).
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

20. Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist:

21. Datensicherheit

Die Übertragung erfolgt ausschließlich verschlüsselt über HTTPS. Der Dateispeicher ist privat; Uploads laufen über kurzlebige, serverseitig erzeugte Zugriffslinks. Der Datenbankzugriff ist für öffentliche Rollen vollständig gesperrt. Formulare sind gegen automatisierte Massenanfragen abgesichert.