Datenschutzerklärung · HEADSPA

1 · Einleitung

1.1. Die SIA HEADSPA (Reg.-Nr. 40203721075, Sitz: Rūpniecības iela 5-1A, Rīga, LV-1010), nachfolgend - HEADSPA, achtet Ihre Privatsphäre und schützt personenbezogene Daten gemäß der Datenschutz-Grundverordnung (DSGVO, EU 2016/679) und dem Gesetz der Republik Lettland über die Verarbeitung personenbezogener Daten natürlicher Personen (Fizisko personu datu apstrādes likums).

1.2. Diese Datenschutzerklärung (nachfolgend - Erklärung) erläutert, wie HEADSPA Ihre personenbezogenen Daten erhebt, verwendet, speichert und schützt, sowie Ihre Rechte in Bezug auf diese Daten.

1.3. Die Erklärung gilt für alle Kunden von HEADSPA und für Besucher der Website head-spa.lv.

2 · Datenschutzbeauftragter (DPO)

Name: Konstantins Talikovs

Funktion: Direktor der SIA HEADSPA und Datenschutzbeauftragter

E-Mail: admin@head-spa.lv

Telefon: +371 22 830 328

Anschrift: Rūpniecības iela 5-1A, Rīga, LV-1010

Bei jeder Frage zur Verarbeitung Ihrer Daten können Sie sich direkt an den DPO wenden.

3 · Welche Daten wir verarbeiten

3.1. Identifikationsdaten

• Vorname, Nachname
• Geburtsdatum
• Telefonnummer
• E-Mail
• Kommunikationssprache (LV / EN / RU)

Zweck: Verwaltung von Reservierungen, Kommunikation, Erinnerungen, Ausstellung von Dokumenten.

Rechtsgrundlage: Vertrag zwischen dem Kunden und HEADSPA (Art. 6 Abs. 1 lit. b DSGVO).

3.2. Gesundheitsdaten ⚠️ Besondere Kategorie

Gemäß Artikel 9 DSGVO sind Gesundheitsdaten eine besondere Kategorie personenbezogener Daten mit zusätzlichem Schutz.

Wir verarbeiten:

• Antworten auf den Online-Gesundheitsfragebogen - ein kurzer Fragebogen, der nach der Reservierung ausgefüllt wird
• Antworten auf den vollständigen Gesundheitsfragebogen im Studio - vor der Behandlung
• Angaben zu Kontraindikationen, Allergien, chronischen Erkrankungen, eingenommenen Medikamenten
• Notizen der Fachkraft zum Verlauf der Behandlung und zum Zustand des Kunden (nur das, was für die Sicherheit und die Anpassung des Programms wichtig ist)

Zweck: die Sicherheit der Behandlung gewährleisten, das Programm anpassen, Gesundheitsrisiken vermeiden.

Rechtsgrundlage: ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO) - der Kunde erteilt die Einwilligung, indem er den Fragebogen ausfüllt und im Studio die Einwilligung nach Aufklärung unterzeichnet.

3.3. Zahlungsdaten

• Bankkontonummer (die der Kunde selbst angibt)
• Zahlungshistorie
• Rechnungsnummern und Beträge

Wir haben KEINEN Zugriff auf die Bankkartennummern oder Passwörter des Kunden - diese Informationen werden von Banken und Zahlungsdienstleistern verarbeitet.

Für die Online-Kartenzahlung nutzt HEADSPA den Zahlungsdienstleister Paynt (Pivotal Payments Designated Activity Company / Oppwa) im Modus eines SAQ-A-konformen Zahlungs-Widgets (Copy & Pay). Kartennummer, Ablaufdatum, CVV/CVC und Einmalcodes für 3D Secure werden direkt beim Zahlungsdienstleister eingegeben; HEADSPA erhält und speichert diese Daten nicht. Die Übermittlung von Daten an den Zahlungsdienstleister ist in Ziff. 5.2 als gesonderter Auftragsverarbeiter aufgeführt.

Zweck: Rechnungsstellung, Buchführung.

Rechtsgrundlage: rechtliche Verpflichtung (lettisches Buchführungsgesetz (Grāmatvedības likums)) + Vertrag.

3.4. Technische Daten von der Website

• IP-Adresse
• Browsertyp und -version
• Datum und Uhrzeit des Website-Besuchs
• Aufgerufene Seiten
• Traffic-Quelle (von welcher Website Sie gekommen sind)

Zweck: Betrieb der Website, Sicherheit, Statistik.

Rechtsgrundlage: berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO) und - für Cookies - Einwilligung.

3.5. Marketingdaten (mit Einwilligung)

• Einwilligung in den Erhalt von Neuigkeiten, Aktionsangeboten, Einladungen
• Klicks und Öffnungen in E-Mails

Zweck: Marketingkommunikation.

Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

3.6. Bestätigung, Erinnerung, Fragebogen vor dem Besuch, Rechnung, Änderung oder Stornierung der Buchung werden auf Grundlage des Vertrags (Art. 6 Abs. 1 lit. b DSGVO) ohne Einwilligung versandt; die Ablehnung von Werbung und Newsletter schaltet sie nicht ab.

4 · Wie lange wir Daten speichern

Nach Ablauf der Frist werden die Daten gelöscht oder anonymisiert.

5 · An wen wir Daten übermitteln

5.1. Unsere Mitarbeiter und Partner

Zugriff auf die Daten haben nur Personen, die ihn zur Erfüllung ihrer Aufgaben benötigen:

• Aleksandra Taļikova - Gesundheitsfragebögen und Notizen zu Behandlungen
• Konstantins Talikovs (DPO) - alle Daten für Verwaltungszwecke
• Buchhalter - Rechnungen, Zahlungen, Jahresabschluss

5.2. Auftragsverarbeiter

Alle Auftragsverarbeiter haben mit HEADSPA Verträge zur Auftragsverarbeitung (DPA) unterzeichnet.

5.3. Übermittlung von Daten außerhalb der EU

Der Großteil der personenbezogenen Daten des Kunden wird innerhalb des Europäischen Wirtschaftsraums (EWR) verarbeitet.

Übermittlung in Drittländer:

• Notion Labs Inc. (USA) - wird als CRM-System zur Speicherung der Kundendatenbank und der Reservierungshistorie genutzt. Die Übermittlung ist abgesichert durch: EU-Standardvertragsklauseln (Standard Contractual Clauses, SCC); Zertifizierung nach dem EU-US Data Privacy Framework (DPF); einen mit HEADSPA unterzeichneten Vertrag zur Auftragsverarbeitung (DPA).
• Google Workspace - die Hauptinfrastruktur befindet sich in Rechenzentren in der EU. Im Falle einer technischen Übermittlung von Daten in die USA gelten dieselben Garantien: SCC und EU-US Data Privacy Framework.
• Meta, Google und OpenAI - nur bei Werbeeinwilligung (Ziff. 5.5). Die Daten können von Meta Platforms, Inc., Google LLC und OpenAI OpCo, LLC in den USA auf Grundlage des EU-US Data Privacy Framework und der EU-Standardvertragsklauseln verarbeitet werden.

HEADSPA übermittelt keine personenbezogenen Daten in Länder ohne ein von der EU anerkanntes Datenschutzniveau, ohne geeignete rechtliche Garantien anzuwenden.

5.4. Kategorien von Empfängern

HEADSPA verkauft personenbezogene Daten des Kunden nicht und übermittelt sie nicht zu Werbezwecken an Dritte ohne gesonderte Einwilligung des Kunden (siehe Ziff. 5.5).

Ohne Einwilligung werden Daten nur übermittelt an:

• Die in Ziff. 5.2 genannten Auftragsverarbeiter, ausschließlich zur Erfüllung vertraglicher Pflichten gegenüber dem Kunden
• Staatliche Behörden - nur auf rechtmäßige Anfrage (Steuerbehörde VID, PTAC, Gericht, Polizei)
• Buchhaltungs- und Rechtsberater von HEADSPA - auf Grundlage von Vertraulichkeitsvereinbarungen

5.5. Werbeplattformen

Diese Ziffer gilt nur für Kunden, die eine gesonderte Einwilligung in die Übermittlung ihrer Kontaktdaten an Werbezielgruppen erteilt haben. Die Einwilligung in den Erhalt von Neuigkeiten per E-Mail (Ziff. 3.5) gewährt dieses Recht nicht: Es handelt sich um unterschiedliche Vorgänge mit unterschiedlichen Empfängern - die E-Mails versendet HEADSPA, die Zielgruppe wird an einen Dritten übermittelt.

• Empfänger: Meta Platforms Ireland Ltd, Google Ireland Ltd und OpenAI Ireland Limited (ChatGPT) (Irland). Die Daten können ihnen für Werbung für HEADSPA und die Messung dieser Werbung in den Diensten dieser Plattformen übermittelt werden.
• Was übermittelt werden kann: E-Mail-Adresse und Telefonnummer aus der Buchung oder dem Formular in gehashter Form (SHA-256) sowie die Tatsache einer bestätigten Buchung. Gesundheitsdaten, Fragebogen und Behandlungshistorie - niemals.
• Einwilligung: Schaltfläche „OK“ im Cookie-Banner der Website. Ablehnung: Schaltfläche „Decline“ (das Cookie-Banner wird über „Cookie settings“ unten auf der Website erneut geöffnet) oder eine E-Mail an booking@head-spa.lv.
• Frist: in Werbezielgruppen - bis zu 12 Monate ab der Übermittlung.

Eine vor der Veröffentlichung dieser Fassung erteilte Einwilligung erstreckt sich nicht auf die Übermittlung zu Werbezwecken: Die Rechtsgrundlage entsteht im Zeitpunkt der Erhebung, und die frühere Fassung hat ausdrücklich zugesagt, dass Daten nicht zu Werbezwecken übermittelt werden.

6 · Ihre Rechte

Nach der DSGVO haben Sie folgende Rechte:

6.1. Auskunftsrecht (Artikel 15 DSGVO)

Sie können eine Kopie aller Daten anfordern, die wir über Sie verarbeiten. Die Antwort erfolgt innerhalb von 30 Tagen.

6.2. Recht auf Berichtigung (Artikel 16 DSGVO)

Wenn die Daten unrichtig oder unvollständig sind, können Sie deren Berichtigung verlangen.

6.3. Recht auf Vergessenwerden (Artikel 17 DSGVO)

Sie können die Löschung Ihrer Daten verlangen, mit Ausnahme von:

• Daten, deren Aufbewahrung gesetzlich vorgeschrieben ist (Rechnungen, im Studio unterzeichnete Gesundheitsfragebögen)
• Daten, die zur Verteidigung von Rechtsansprüchen erforderlich sind

6.4. Recht auf Einschränkung der Verarbeitung (Artikel 18 DSGVO)

Sie können die Einschränkung der Verarbeitung verlangen, wenn Sie die Richtigkeit der Daten bestreiten.

6.5. Recht auf Datenübertragbarkeit (Artikel 20 DSGVO)

Sie können Ihre Daten in einem strukturierten, maschinenlesbaren Format (CSV oder JSON) zur Übermittlung an einen anderen Dienstleister anfordern.

6.6. Widerspruchsrecht (Artikel 21 DSGVO)

Sie können der Verarbeitung von Daten auf Grundlage berechtigter Interessen oder zu Marketingzwecken widersprechen.

6.7. Recht auf Widerruf der Einwilligung

Sie können Ihre Einwilligung jederzeit widerrufen, indem Sie eine E-Mail an admin@head-spa.lv senden. Der Widerruf berührt nicht die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung.

6.8. Recht auf Beschwerde bei einer Aufsichtsbehörde

Wenn Sie der Ansicht sind, dass Ihre Rechte verletzt wurden, können Sie Beschwerde einlegen:

Staatliche Datenschutzbehörde Lettlands (Datu valsts inspekcija, DVI)

• Elijas iela 17, Rīga, LV-1050
• Tel.: +371 67223131
• E-Mail: pasts@dvi.gov.lv
• Website: www.dvi.gov.lv

7 · Datensicherheit

7.1. HEADSPA wendet technische und organisatorische Maßnahmen zum Schutz Ihrer Daten an:

Technische Maßnahmen:

• SSL/TLS-Verschlüsselung auf der Website und in den Zahlungssystemen
• Verschlüsselung der Daten auf Speicherebene in Supabase (Gesundheitsdaten)
• Zugriffskontrolle mit Authentifizierung und Zwei-Faktor-Prüfung
• Regelmäßige Datensicherung

Organisatorische Maßnahmen:

• Schulung des Personals zur Verarbeitung personenbezogener Daten
• Vertraulichkeitsvereinbarungen mit Mitarbeitern und Partnern
• Prinzip des Zugriffs nach Erforderlichkeit (need-to-know)
• Verträge zur Auftragsverarbeitung (DPA) mit allen Auftragsverarbeitern

7.2. Im Falle einer Datenpanne benachrichtigen wir die Staatliche Datenschutzbehörde innerhalb von 72 Stunden und, wenn die Datenpanne ein hohes Risiko für die Rechte der Kunden mit sich bringt, auch die betroffenen Kunden.

8 · Cookies

8.1. Was ein Cookie ist. Ein Cookie ist eine kleine Datei, die eine Website im Browser speichert, um die Auswahl des Besuchers zu speichern oder ihn beim nächsten Besuch wiederzuerkennen. Ebenso funktioniert der Browserspeicher (localStorage und sessionStorage); er wird nachfolgend zusammen mit den Cookies beschrieben.

8.2. Wozu wir sie verwenden. Damit die Website funktioniert (Sprache, Buchung, Zahlung, Ihre Auswahl im Cookie-Banner), um zu verstehen, wie die Website genutzt wird, und um Werbung für HEADSPA Omotenashi anzuzeigen und zu zählen, welche Buchungen über Werbung zustande gekommen sind.

8.3. Welche Cookies wir verwenden.

Notwendige - immer aktiv, ohne Einwilligung:

Analyse und Werbung - nur nach „OK“ im Cookie-Banner:

8.4. Was „OK“ einschaltet und was bei „Decline“ bleibt. „OK“ schaltet die Analyse und Werbung aus der zweiten Tabelle ein. Außerdem werden, wenn Sie nach „OK“ eine Buchung vornehmen oder ein Formular absenden, E-Mail-Adresse und Telefonnummer in gehashter Form an Werbezielgruppen von Meta und Google übermittelt (Ziff. 5.5). „Decline“ - es funktionieren nur die notwendigen Cookies aus der ersten Tabelle, Google Analytics, Vercel Analytics, Meta Pixel und Google Ads werden nicht geladen, der Kontakt wird nicht zu Werbezwecken übermittelt.

8.5. Wie Sie Ihre Auswahl ändern. Die Schaltfläche „Cookie settings“ unten auf jeder Seite der Website öffnet das Cookie-Banner erneut. Die Auswahl kann jederzeit geändert werden; nach 12 Monaten fragt das Cookie-Banner erneut. Fragen und Ablehnung per E-Mail - booking@head-spa.lv. Cookies können auch in den Browsereinstellungen gelöscht werden.

9 · Besondere Kategorien von Daten (medizinische Informationen)

9.1. Vor jeder Behandlung füllt der Kunde einen Gesundheitsfragebogen aus (Kontraindikationen, Allergien, chronische Erkrankungen, Schwangerschaft, Einnahme von Medikamenten). Diese Daten gehören zur besonderen Kategorie personenbezogener Daten gemäß Art. 9 der Verordnung (EU) 2016/679 (DSGVO).

9.2. Rechtsgrundlage der Verarbeitung: ausdrückliche Einwilligung des Kunden (Art. 9 Abs. 2 lit. a DSGVO), erteilt durch Unterzeichnung des Fragebogens oder Bestätigung per Checkbox im Online-Formular.

9.3. Speicherort:

• Der Online-Fragebogen (vor dem Besuch ausgefüllt) wird in Supabase (Frankfurt, EU) gespeichert. Die Daten werden nicht in Drittländer übermittelt.
• Der im Studio unterzeichnete Papierfragebogen wird eingescannt und in Google Workspace (EU) gespeichert.
• Der Inhalt des Gesundheitsfragebogens wird nicht im CRM-System (Notion) dupliziert. Im CRM werden nur die Tatsache des Ausfüllens des Fragebogens und allgemeine Vermerke der Fachkraft zur Eignung des Programms festgehalten.

9.4. Zugriff auf Gesundheitsdaten haben nur:

• Die Fachkraft, die die Behandlung durchführt
• Die leitende Fachkraft von HEADSPA (Aleksandra Taļikova, medizinische Ausbildung)
• Die für den Datenschutz verantwortliche Person (Konstantins Talikovs)

9.5. Speicherfrist für Gesundheitsdaten: 3 Jahre ab dem letzten Besuch des Kunden, danach werden die Daten gelöscht. Kehrt der Kunde innerhalb dieser Frist nicht zurück, wird der Fragebogen automatisch gelöscht.

9.6. Der Kunde hat das Recht, jederzeit die Löschung der Gesundheitsdaten vor Ablauf der Speicherfrist zu verlangen, indem er eine Anfrage an admin@head-spa.lv sendet. Die Löschung erfolgt innerhalb von 30 Tagen.

10 · Übermittlung von Daten außerhalb der EU/des EWR

10.1. Die meisten Auftragsverarbeiter befinden sich im Gebiet der EU/des EWR.

10.2. Einige Dienste (zum Beispiel Notion Labs) befinden sich in den USA. In solchen Fällen erfolgt die Übermittlung von Daten gemäß:

• EU-US Data Privacy Framework (neuer Rahmen, in Kraft seit 2023)
• Standardvertragsklauseln (SCC)
• Genehmigten Verträgen zur Auftragsverarbeitung (DPA) mit dem Dienstleister

10.3. Gesundheitsdaten (Gesundheitsfragebögen) werden nicht außerhalb der EU übermittelt - sie werden in Supabase (Frankfurt) und Google Drive (EU-Dienste) gespeichert.

11 · Änderungen dieser Erklärung

11.1. HEADSPA behält sich das Recht vor, diese Erklärung zu ändern. Änderungen werden auf der Website unter Angabe des Datums des Inkrafttretens veröffentlicht.

11.2. Über Änderungen der Erklärung informieren wir durch Veröffentlichung der neuen Fassung auf der Website unter Angabe des Datums des Inkrafttretens. Betrifft eine Änderung die Einwilligung (neue Verarbeitungszwecke oder neue Empfänger), fragt das Cookie-Banner der Website beim nächsten Aufruf der Website erneut nach der Einwilligung. E-Mails an Kunden über Änderungen der Erklärung werden nicht versandt. Frühere Fassungen sind über den Link in Ziff. 11.3 abrufbar.

11.3. Frühere Fassung 1.1 (vom 20.10.2026 bis 01.11.2026): /de/privacy/v1-1.

12 · Kontakt

Verantwortlicher:

• SIA HEADSPA
• Reg.-Nr. 40203721075
• Rūpniecības iela 5-1A, Rīga, LV-1010

Datenschutzbeauftragter (DPO):

• Konstantins Talikovs
• E-Mail: admin@head-spa.lv
• Telefon: +371 22 830 328

Aufsichtsbehörde:

• Staatliche Datenschutzbehörde Lettlands
• www.dvi.gov.lv