Datenschutzerklärung

Gerhard & Mirdha GbR
Karmeliterstraße 12, 55116 Mainz, Deutschland
Vertreten durch: Alexander Gerhard, Roktim Mirdha
Telefon: 01556 0044677 · E-Mail: kontakt@lemonslot.de

Ein Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Voraussetzungen hierfür nicht vorliegen. Fragen zum Datenschutz richtest du bitte an die oben genannte E-Mail-Adresse.

Diese Erklärung gilt für die Website und die Webanwendung LemonSlot unter https://lemonslot.app einschließlich der Buchungsseiten, der Kalenderdateien, der E-Mails und des Kundenportals „LemonSlot Go“. Welche Abschnitte dich betreffen, hängt davon ab, in welcher Rolle du LemonSlot nutzt: als Besucher, als Betrieb mit Konto, als Kunde eines Betriebs oder als Nutzer des Kundenportals.

LemonSlot wird bei Vercel Inc. (440 N Barranca Ave #4133, Covina, CA 91723, USA) betrieben. Die Anwendung läuft in der Vercel-Region Dublin (Irland). Bei jedem Aufruf verarbeitet Vercel technisch notwendige Verbindungsdaten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Browser und Betriebssystem (User-Agent) sowie die aus der IP-Adresse abgeleitete ungefähre Region (Stadt und Land). Diese Daten sind erforderlich, um die Seiten auszuliefern, Angriffe abzuwehren und Fehler zu finden.

In den Anwendungs-Logs werden E-Mail-Adressen und Telefonnummern nur maskiert gespeichert (z. B. „m***@beispiel.de“). Vercel bewahrt Logs nur kurzzeitig auf. Zur Abwehr von Missbrauch zählen wir Anfragen je IP-Adresse (Ratenbegrenzung); diese Zähler verfallen nach wenigen Minuten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren und stabilen Betrieb). Mit Vercel besteht ein Vertrag zur Auftragsverarbeitung mit EU-Standardvertragsklauseln.

LemonSlot setzt keine Analyse-, Werbe- oder Tracking-Cookies, lädt keine externen Schriftarten und bindet keine Social-Media-Dienste ein. Verwendet werden ausschließlich technisch erforderliche Cookies (Anmeldung, gewählter Standort) und Einstellungen in deinem Browser-Speicher (Sprache, Darstellung, Zwischenstände einer Buchung). Dafür ist nach § 25 Abs. 2 TDDDG keine Einwilligung nötig; deshalb gibt es kein Cookie-Banner.

Eine vollständige, laufend gepflegte Liste aller Cookies und Speicher mit Zweck und Laufzeit findest du unter Cookies & Datenspeicher.

Dieser Abschnitt gilt für Betriebe, die LemonSlot nutzen, sowie für deren Mitarbeiter mit Zugang zum Dashboard.

Registrierung und Anmeldung

Bei der Registrierung erheben wir Firmenname, Branche, Name und E-Mail-Adresse der anmeldenden Person sowie ein Passwort. Die Anmeldung wird über Supabase Auth abgewickelt (Supabase Inc., 970 Toa Payoh North, Singapur; Daten in AWS eu-west-1, Irland). Dort werden E-Mail-Adresse, Passwort in verschlüsselter Form (Hash), Anmeldesitzungen mit IP-Adresse und Browserkennung sowie bei aktivierter Zwei-Faktor-Anmeldung der geheime Schlüssel der Authenticator-App gespeichert. Zur Sicherheit senden wir bei einer Anmeldung von einem unbekannten Gerät eine Hinweis-E-Mail mit Gerätetyp, Stadt und Land.

Daten des Betriebs

Im Dashboard verarbeitest du die Daten deines Betriebs: Standorte mit Adresse, Öffnungszeiten, Leistungen, Preise, Logos und Bilder, Mitarbeiter mit Name, Foto, Arbeitszeiten und Abwesenheiten sowie die Daten deiner Kunden (siehe Abschnitt 6). Adressen deiner Standorte werden über den Geodienst Photon (komoot GmbH, Potsdam) in Koordinaten umgewandelt, damit sie auf Karten und in der Umkreissuche erscheinen. Beim Tippen einer Adresse fragt dein Browser Vorschläge direkt bei Photon ab; dabei erhält komoot den eingetippten Text und deine IP-Adresse.

Abo und Abrechnung

Kostenpflichtige Tarife rechnen wir über Stripe ab (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland). An Stripe übermitteln wir Firmenname, E-Mail-Adresse des Inhabers und eine Kundennummer. Zahlungsmittel gibst du ausschließlich bei Stripe ein; wir erhalten keine Kartendaten. Stripe ist für die Zahlungsdaten eigenständig verantwortlich (Datenschutzerklärung von Stripe). Rechnungen bewahren wir nach § 147 AO zehn Jahre auf.

Online-Zahlungen deiner Kunden (Stripe Connect)

Möchtest du Zahlungen deiner Kunden online annehmen, legen wir für dich ein Stripe-Konto an (Stripe Connect). Die dafür nötigen Identitäts- und Bankdaten gibst du direkt bei Stripe ein; Stripe ist hierfür dein Vertragspartner. Zahlungen deiner Kunden laufen auf dieses Konto; LemonSlot behält eine Plattformgebühr ein und sieht Betrag, Status und Beleg-E-Mail der Zahlung.

E-Mails und SMS

System-E-Mails (Bestätigungen, Erinnerungen, Hinweise an dich und deine Kunden) versenden wir über Mailjet SAS (4 rue Jules Lefebvre, 75009 Paris, Frankreich), SMS über Brevo SAS (7 rue de Madrid, 75008 Paris, Frankreich). Übermittelt werden Empfängeradresse bzw. Telefonnummer, Name, Betreff und Inhalt der Nachricht. Öffnungs- und Klick-Tracking ist abgeschaltet. SMS-Guthaben kaufst du über Stripe.

Speicherdauer und Löschung

Die Daten deines Betriebs bleiben gespeichert, solange dein Konto besteht. Beantragst du die Löschung deines Kontos, kündigen wir ein laufendes Abo zum Ende der Abrechnungsperiode und löschen das Konto mit allen Daten nach einer Frist von 30 Tagen endgültig; innerhalb dieser Frist kannst du die Löschung zurückziehen und deine Daten als ZIP-Datei exportieren. Gesetzliche Aufbewahrungspflichten (Rechnungen) bleiben unberührt. Nicht mehr genutzte Anmeldesitzungen löschen wir nach 30 Tagen, Betriebs-Protokolle nach 90 Tagen.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Vertrag über die Nutzung von LemonSlot), Art. 6 Abs. 1 lit. c DSGVO (Aufbewahrungspflichten), Art. 6 Abs. 1 lit. f DSGVO (Sicherheit, Missbrauchsabwehr, Anmelde-Hinweise). Mit Supabase, Vercel, Mailjet und Brevo bestehen Verträge zur Auftragsverarbeitung.

Wenn du uns per E-Mail oder Telefon kontaktierst, verarbeiten wir deine Angaben zur Bearbeitung der Anfrage (Art. 6 Abs. 1 lit. b oder f DSGVO). Anfragen aus dem Kundenportal zu Betriebsprofilen (Übernahme, Korrektur, Löschung eines Eintrags) erreichen uns per E-Mail mit Name, E-Mail-Adresse, Rückrufnummer und Nachricht; die Anfrage speichern wir mit einem Hash der IP-Adresse, um Missbrauch zu erkennen. Wir löschen Anfragen, sobald sie erledigt sind und keine Aufbewahrungspflicht besteht.

Dieser Abschnitt gilt für dich, wenn du über eine Buchungsseite, ein eingebettetes Buchungsfenster oder einen Buchungslink eines Betriebs einen Termin, einen Kursplatz oder einen Tisch buchst, dich auf eine Warteliste setzt oder eine Terminanfrage stellst.

Verantwortlich für diese Verarbeitung ist der jeweilige Betrieb, bei dem du buchst. LemonSlot verarbeitet deine Daten in dessen Auftrag als Auftragsverarbeiter nach Art. 28 DSGVO. Deine Rechte auf Auskunft, Berichtigung, Löschung und Widerspruch machst du gegenüber dem Betrieb geltend; sein Impressum und seine Datenschutzerklärung findest du in der Fußzeile der Buchungsseite. Wir unterstützen den Betrieb bei der Beantwortung.

Welche Daten verarbeitet werden

• Name, E-Mail-Adresse und, falls angegeben, Telefonnummer, Sprache, Personenzahl und freiwillige Anmerkungen
• gebuchte Leistung, Mitarbeiter, Termin oder Kurstermin, Tisch, Buchungsnummer, Status (bestätigt, storniert, wahrgenommen, nicht erschienen)
• Links und Codes zur Verwaltung deiner Buchung (Stornierung, Umbuchung, Warteliste, Ticket mit QR-Code), die nur dir zugehen
• bei Online-Zahlung: Betrag, Zahlungsstatus und die Kennung der Zahlung bei Stripe; die Kartendaten gibst du ausschließlich bei Stripe ein, sie erreichen LemonSlot nicht

Wofür

Zur Durchführung deiner Buchung: Bestätigung, Erinnerungen, Änderungs- und Rückfragen, Stornierung, Warteliste, Kalenderdatei. E-Mails versendet Mailjet, SMS versendet Brevo (siehe Abschnitt 4), sofern der Betrieb SMS aktiviert hat. Links zu Google Maps („Route anzeigen“) und Google Kalender in Bestätigungen werden erst beim Anklicken aufgerufen; dann gelten die Datenschutzbestimmungen von Google.

Speicherdauer

Der Betrieb entscheidet, wie lange Buchungen aufbewahrt werden. Wird das Konto des Betriebs gelöscht, werden auch deine Buchungsdaten gelöscht. Erinnerungs- und Bestätigungsmails enthalten keine Tracking-Elemente.

Das Kundenportal ist freiwillig. Du kannst dort ein eigenes Konto mit deiner E-Mail-Adresse anlegen, um deine Buchungen bei verschiedenen Betrieben an einem Ort zu sehen. Hierfür sind wir Verantwortlicher.

• Konto: E-Mail-Adresse, Name, optional Telefonnummer und Sprache. Die Anmeldung erfolgt per E-Mail-Code ohne Passwort; Sitzungen speichern wir als Hash und du kannst sie jederzeit beenden („überall abmelden“).
• Zuordnung von Buchungen: Buchungen, die mit deiner E-Mail-Adresse oder Telefonnummer bei Betrieben gemacht wurden, werden deinem Konto zugeordnet, damit du sie sehen kannst. Du kannst einzelne Einträge aus deinem Verlauf entfernen.
• Benachrichtigungen: Hinweise zu Buchungen, Verschiebungen und Rückfragen speichern wir als Mitteilungen im Portal. Push-Benachrichtigungen erhältst du nur, wenn du sie im Browser ausdrücklich erlaubst; sie werden über den Push-Dienst deines Browsers (Apple, Google oder Mozilla) zugestellt. Der Inhalt ist nach dem Web-Push-Standard verschlüsselt; der Dienst sieht nur eine Zustelladresse. Du kannst Push jederzeit in den Browser-Einstellungen oder im Portal abschalten.
• Karte „Entdecken“: Die Karte lädt Kartenbilder von OpenStreetMap-Servern (tile.openstreetmap.de, betrieben von FOSSGIS e. V., bzw. tile.openstreetmap.org, OpenStreetMap Foundation). Dabei erhält der Kartenserver deine IP-Adresse und den angezeigten Kartenausschnitt. Die Ortssuche fragt Photon (komoot GmbH) mit deinem Suchbegriff an. Deinen Standort fragen wir nur ab, wenn du darauf tippst; er wird nicht gespeichert. Als Startpunkt der Karte verwenden wir die ungefähre Region aus deiner IP-Adresse.
• Betriebsprofile aus OpenStreetMap: Im Portal zeigen wir öffentliche Daten von Betrieben (Name, Adresse, Telefon, Website, Öffnungszeiten) aus OpenStreetMap. Betriebe können Korrektur oder Entfernung ihres Eintrags anfordern.
• Löschung: Du kannst dein Portalkonto jederzeit selbst löschen; damit werden Konto, Sitzungen, Mitteilungen und Push-Abonnements gelöscht. Buchungen bei den Betrieben bleiben davon unberührt (siehe Abschnitt 6).

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Nutzung des Portals), Art. 6 Abs. 1 lit. a DSGVO (Push-Benachrichtigungen, Standortabfrage), Art. 6 Abs. 1 lit. f DSGVO (Kartenanzeige, Missbrauchsabwehr).

Wir geben personenbezogene Daten nur an die folgenden Dienstleister weiter, soweit es für den jeweiligen Zweck erforderlich ist. Mit Anbietern außerhalb der EU bestehen EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO); die Datenverarbeitung von Vercel und Supabase ist auf Rechenzentren in der EU eingestellt.

Darüber hinaus geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind oder du eingewilligt hast. Wir verkaufen keine Daten und nutzen sie nicht für Werbung Dritter.

Alle Verbindungen sind TLS-verschlüsselt. Passwörter werden nur als Hash gespeichert, Betriebe können eine Zwei-Faktor-Anmeldung aktivieren, Verwaltungslinks sind lang und zufällig, Anmeldungen von neuen Geräten werden per E-Mail gemeldet, und in Server-Logs stehen keine Klartext-Kontaktdaten. Zugriff auf die Datenbank haben nur die Betreiber über abgesicherte Zugänge.

Du hast gegenüber dem jeweils Verantwortlichen das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO). Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Für Verarbeitungen, für die wir Verantwortlicher sind (Abschnitte 2 bis 5 und 7), wende dich an kontakt@lemonslot.de. Für Buchungen bei einem Betrieb (Abschnitt 6) wende dich an den Betrieb.

Du hast außerdem das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für uns zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz, Hintere Bleiche 34, 55116 Mainz, www.datenschutz.rlp.de.

Wir passen diese Erklärung an, wenn sich LemonSlot oder die Rechtslage ändert. Die jeweils aktuelle Fassung findest du unter https://lemonslot.app/datenschutz; das Datum des Stands steht oben.