Datenschutzerklärung

Blood Diamond Tattoo Ink. verarbeitet personenbezogene Daten zur Terminorganisation, Beratung und Nachbetreuung von Tattoo-Dienstleistungen sowie zur internen, datensparsamen Reichweiten- und Funnel-Messung. Weitergehende Webanalyse und die Messung des Erfolgs unserer Werbung setzen, soweit in dieser Erklärung beschrieben, deine ausdrückliche Einwilligung voraus. Diese Erklärung informiert dich über Art, Umfang und Zweck der Verarbeitung sowie über deine Rechte nach der DSGVO.

Verantwortlich im Sinne der DSGVO:
Blood Diamond Tattoo Ink. Böblingen
Inhaber: Kevin Kaiser
Stuttgarter Str. 21 · 71083 Herrenberg (Böblingen)
E-Mail: blood_diamond_ink_boeblingen@web.de
Telefon: 0162 4204789

Sofern in dieser Erklärung keine speziellere Rechtsgrundlage genannt wird, erfolgt die Verarbeitung personenbezogener Daten auf Grundlage von Art. 6 Abs. 1 lit. a–f DSGVO.

Wir setzen für den Betrieb unserer Websites, die Bearbeitung von Anfragen und die nachfolgend beschriebene Gutschein-Diagnostik folgende Dienstleister ein:

• Vercel Inc., 440 N Barranca Ave #4133, Covina CA 91723, USA — Hosting/CDN sowie technischer Betrieb unseres Tattoo-Anfrageformulars (siehe Ziffer 5).
• Supabase (Supabase Pte. Ltd) — Datenbank- und Speicher-Infrastruktur für Tattoo-Anfragen und Referenzbilder sowie die CRM-Datenverarbeitung. Soweit die zusätzliche Cookie-Entscheidungsdiagnostik auf der Gutscheinseite aktiviert ist, speichern wir dort außerdem die nach Datum, Standortgruppe und Entscheidungsart aggregierten Zähler. Zum Schutz der öffentlichen Gutschein-Endpunkte einschließlich Cookie-Diagnostik und CRM-Marketing-Widerruf speichern wir bei Supabase auch pseudonyme SHA-256-Kennwerte aus Client-IP-Adressen und zugehörige technische Rate-Limit-Zeitfenster (siehe die Abschnitte „Schutz vor Missbrauch“ und „Interne Reichweiten- und Funnel-Messung auf der Gutscheinseite“). Die Verarbeitung erfolgt innerhalb der EU (Irland); die Auftragsverarbeitung stützt sich auf die EU-Standardvertragsklauseln.
• Meta Platforms Ireland Limited, Merrion Road, Ballsbridge, Dublin D04 X2K5, Irland — optionale Marketing- und Conversion-Messung auf unserer Gutscheinseite über Meta Pixel und Meta Conversions API, ausschließlich nach Marketing-Einwilligung (siehe Ziffer 13).

Wenn du über unser Anfrageformular eine Tattoo- oder Beratungsanfrage stellst, verarbeiten wir die dort angegebenen Daten zur Prüfung und Bearbeitung deiner Anfrage: Wunsch-Standort, optional gewählte Projektart (zum Beispiel Cover-up), Motividee, optional gewünschter Tattoo-Stil, Körperstelle, ungefähre Größe, optional gewünschter Zeitraum für das Tattoo, Name, Telefonnummer, dein bevorzugter Kontaktweg (Telefon oder WhatsApp) sowie optional bis zu fünf Referenzbilder (siehe Ziffer 6). Eine E-Mail-Adresse wird nicht erhoben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bearbeitung deiner Anfrage) bzw., soweit noch kein Vertrag zustande gekommen ist, Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bearbeitung eingehender Anfragen).

Deine Angaben werden über unsere Website-Infrastruktur (Hosting: Vercel) verarbeitet und bei unserem Auftragsverarbeiter Supabase gespeichert; von dort greifen unsere Mitarbeiter*innen standortübergreifend auf eingehende Anfragen zu, um dich zu kontaktieren.

Referenzbilder sind freiwillig und dienen ausschließlich der Bearbeitung deiner Tattoo-Anfrage. Sie werden serverseitig geprüft und technisch neu aufbereitet; dabei werden Metadaten wie EXIF- und Standortdaten (GPS) entfernt. Die Bilder werden privat gespeichert, nicht öffentlich veröffentlicht und nicht automatisch als Portfolio- oder Social-Media-Material verwendet. Eine spätere Veröffentlichung, etwa als Beispielarbeit, erfolgt nur auf einer gesonderten, ausdrücklichen Grundlage. Rechtsgrundlage: Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO.

Um unser Tattoo-Anfrageformular vor Missbrauch und automatisierten Massenanfragen zu schützen, ermittelt unsere Hosting-Infrastruktur beim Absenden serverseitig deine IP-Adresse und bildet daraus einen Einweg-Hashwert (HMAC-SHA-256). Gespeichert wird ausschließlich dieser Hashwert, aus dem sich die IP-Adresse nicht zurückrechnen lässt – nicht die IP-Adresse selbst. Für die Begrenzung werden nur aktuelle Zeitfenster ausgewertet. Technisch veraltete Rate-Limit-Einträge werden bei späteren Aufrufen des Anfrageformulars bereinigt; wenn über längere Zeit keine weitere Anfrage verarbeitet wird, können solche Einträge deshalb länger als 24 Stunden in der Datenbank verbleiben, ohne noch für die Begrenzung verwendet zu werden. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem funktionsfähigen, missbrauchsgeschützten Formular).

Kontakt über WhatsApp (Anbieter: WhatsApp Ireland Limited). Nachrichten sind Ende-zu-Ende-verschlüsselt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Infos: whatsapp.com/legal/privacy-policy-eea

Nur mit Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Widerruf bewirkt Löschung, soweit keine gesetzlichen Pflichten entgegenstehen.

Automatische Erfassung technischer Zugriffsdaten zur Stabilität/Sicherheit (Art. 6 Abs. 1 lit. f DSGVO). Infos: vercel.com/legal/privacy-policy

Wir verwenden technisch notwendige Cookies und Local-Storage-Einträge, etwa um deine Cookie-Auswahl zu speichern (Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO).

Darüber hinaus binden wir Google Analytics / Google Tag (Google Ireland Limited) direkt ein, um die Nutzung unserer Website auszuwerten. Das Google-Analytics-Skript wird ausschließlich in der Produktionsumgebung und erst nach deiner ausdrücklichen Analytics-Einwilligung über Klaro geladen. Ohne Einwilligung wird das Skript nicht geladen. Nach Einwilligung können Analyseinformationen und entsprechende Analyse-Cookies (u. a. _ga und _ga_<container-id>) verarbeitet werden. Deine Einwilligung kannst du jederzeit über die Cookie-Einstellungen widerrufen. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO.

Bei derselben Analytics-Einwilligung kann außerdem Vercel Web Analytics (Vercel Inc.) zur optionalen Webanalyse aktiviert werden. Vercel Web Analytics ist vom Hosting und CDN-Betrieb durch Vercel zu unterscheiden. Im Rahmen der Webanalyse können anonymisierte Nutzungs- und Interaktionsereignisse ausgewertet werden. Bei erfolgreichem Absenden des Tattoo-Anfrageformulars wird bei erteilter Analytics-Einwilligung für das Conversion-Ereignis `tattoo_inquiry_submit` ausschließlich der ausgewählte Wunsch-Standort als technische Kennung (`location_id`) an Google Analytics übermittelt. Bei diesen Analysevorgängen der Hauptwebsite und beim Conversion-Ereignis `tattoo_inquiry_submit` werden Name, Telefonnummer, Freitext und Referenzbilder nicht übermittelt. Die optionale Meta-Verarbeitung auf der separaten Gutscheinseite ist davon nicht umfasst und wird in Ziffer 13 gesondert beschrieben.

Auf unserer Gutscheinseite erfassen wir zur internen, datensparsamen Auswertung Seitenaufrufe und Nutzungsschritte des Gutschein-Funnels. Dazu gehören insbesondere Funnel-Start, Formularstart, Schrittaufrufe, abgeschlossene Schritte, erfolgreiche Gutschein-Anfragen und Aufrufe der Danke-Seite sowie der zugeordnete Gutschein-Standort und – soweit vorhanden – gefilterte Kampagnenparameter.

Für diese Basismessung werden ohne deine optionale Statistik-Einwilligung keine dauerhaften Besucher- oder Session-IDs in Cookies, Local Storage oder Session Storage gespeichert. Während des aktuellen Seitenkontexts können flüchtige Kennungen im Arbeitsspeicher verwendet und serverseitig gehasht werden, damit zusammengehörige Funnel-Ereignisse statistisch zugeordnet werden können. Roh-IP-Adresse, Name, Telefonnummer, E-Mail-Adresse, Tattoo-Größe, gewünschter Tattoo-Zeitraum, Tattoo-Ideen, Freitexte und Gutschein-Code werden nicht als Inhalte dieser internen Funnel-Ereignisse gespeichert.

Mit deiner ausdrücklichen Statistik-Einwilligung können zusätzlich zeitlich begrenzte Besucher- und Session-IDs sowie gefilterte Kampagneninformationen im Browser gespeichert werden, um Besuche und Sessions genauer zu deduplizieren. Diese optionale Speicherung kannst du jederzeit über die Cookie-Einstellungen der Gutscheinseite widerrufen.

Nur wenn du Marketing freiwillig aktivierst, zählen wir bei einer neu erteilten Marketing-Zustimmung zusätzlich die Aktion als aggregierten Tageswert je Standortgruppe (oder „nicht zugeordnet“). Wir zählen dafür weder Ablehnungen noch Widerrufe oder bloße Wiederbestätigungen. Es werden keine zusätzlichen Cookies oder Besucher- und Session-Kennungen angelegt. Die Zählung speichert weder Namen, Kontaktdaten, IP-Adressen noch IP-Hashwerte und ist keiner Person, Anfrage oder Werbekampagne zuordenbar. Sie ist kein Nachweis eines an Meta zugestellten Ereignisses und keine Zählung eindeutiger Besucher. Die Erfassung neuer Zustimmungen beruht auf deiner hierfür informierten Marketing-Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Aggregate älter als 90 Berichtstage werden durch einen geschützten täglichen Bereinigungslauf zur Löschung vorgesehen.

Zum Schutz unserer öffentlichen Gutschein-Endpunkte, einschließlich Cookie-Diagnostik, Gutschein-Anfragen und CRM-Marketing-Widerruf, verarbeiten wir die von der Hosting-Infrastruktur übermittelte Client-IP-Adresse serverseitig für eine Begrenzung automatisierter Aufrufe. Bei eingerichtetem separatem geheimem Server-Schlüssel erzeugen wir daraus einen HMAC-SHA-256-Kennwert. Solange dieser Schlüssel noch nicht korrekt eingerichtet ist, verwenden bestehende Gutschein-Endpunkte übergangsweise einen SHA-256-Kennwert mit festem Zweckpräfix; die zusätzliche Cookie-Entscheidungsdiagnostik nimmt in diesem Fall keine Zählung vor. In der Supabase-Rate-Limit-Tabelle speichern wir den jeweiligen pseudonymen Kennwert, das technische Zeitfenster, den Zähler und die Ablaufzeit, jedoch nicht die IP-Adresse im Klartext. Auch ein HMAC-Kennwert wird nicht als anonymes Datum eingestuft. Die Anfragekontingente gelten für Zeitfenster von zehn Minuten. Abgelaufene Einträge werden bei späteren Aufrufen und zusätzlich durch einen geschützten täglichen Bereinigungslauf in begrenzten Mengen entfernt. Bei Ausfällen kann sich die Löschung verzögern; technische Zugriffs- und Fehlerprotokolle des Hostings sind davon unabhängig.

Soweit bei der internen Basismessung und dem technischen Missbrauchsschutz personenbezogene Daten verarbeitet werden, stützen wir diese Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der datensparsamen Kontrolle von Nutzung und Funktionsfähigkeit des Gutschein-Funnels, der Qualitätssicherung der Einwilligungsverwaltung und dem Schutz öffentlicher Endpunkte vor Missbrauch. Die optionale Speicherung zusätzlicher Statistik-IDs erfolgt nur nach deiner Einwilligung.

Auf unserer eigenen Gutscheinseite gutschein.blooddiamond-tattoo.de verwenden wir, soweit technisch aktiviert und von dir ausdrücklich freigegeben, den Meta Pixel im Browser und die Meta Conversions API (CAPI) serverseitig. Anbieter ist Meta Platforms Ireland Limited, Merrion Road, Ballsbridge, Dublin D04 X2K5, Irland. Zweck ist die Messung, ob unsere Meta-Werbung zu Seitenaufrufen und erfolgreichen Gutschein-Anfragen führt und wie sich diese Anfragen später in unserem CRM entwickeln, zum Beispiel ob Kontakt aufgenommen wurde, eine Anfrage qualifiziert wurde, eine Beratung oder ein Tattoo-Termin geplant wurde oder die Anfrage erfolgreich abgeschlossen wurde. Rechtsgrundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.

Ohne Marketing-Einwilligung wird der Meta Pixel durch unsere Gutscheinseite nicht geladen und es wird kein CAPI-Ereignis an Meta gesendet. Nach Einwilligung kann der Browser bei Seitenaufrufen einPageView-Ereignis senden. Nach Marketing-Einwilligung kann zusätzlich ein täglich und standortbezogen dedupliziertes Besuchsereignis an Meta gesendet werden. Ein bewusster Klick auf WhatsApp oder Instagram kann bereits alsLead-Ereignis über den Browser-Pixel gemessen werden. Ein solcher Klick ist noch keine bestätigte Nachricht, Gutschein-Anfrage oder Tattoo-Buchung. Nach erfolgreich gespeicherter Gutschein-Anfrage kann ein weiteres Lead-Ereignis über Browser-Pixel und serverseitige CAPI gesendet werden. Für diesen Formular-Lead verwenden beide Transportwege dieselbe technische Ereignis-ID zur Deduplizierung.

Für die unmittelbare Marketing-Messung auf der Gutscheinseite können nach deiner Einwilligung technische Zuordnungs- und Verbindungsdaten verarbeitet werden, insbesondere Meta-Identifier aus Cookies (_fbp und _fbc), IP-Adresse, Browserkennung/User-Agent, Zeitpunkt und technische Ereignis-ID sowie der ausgewählte Gutschein-Standort und die Kennzeichnung des Gutschein-Funnels. Nach Marketing-Einwilligung kann auch beim serverseitigen Versand des unmittelbar abgeschickten Gutschein-Leads die Telefonnummer ausschließlich als SHA-256-Hash zum Abgleich an Meta gesendet werden. Die Telefonnummer wird dabei nicht im Klartext an Meta übermittelt.

Wenn du bei der Gutschein-Anfrage der Marketing-Verarbeitung zugestimmt hast, können wir außerdem spätere Bearbeitungs- und Qualitätsstufen deiner Anfrage aus unserem CRM über die Conversions API an Meta melden. Zur Zuordnung wird die von dir angegebene Telefonnummer vor der Übermittlung mit SHA-256 gehasht. Die Telefonnummer wird für diese CRM-Zuordnung nicht im Klartext an Meta übermittelt. Name, Tattoo-Größe, gewünschter Tattoo-Zeitraum, Tattoo-Ideen, Freitexte, Nachrichten und Gutschein-Code werden nicht als CRM-Eventinhalte an Meta gesendet. Eine E-Mail-Adresse wird im Gutschein-Funnel nicht erhoben und daher auch nicht für diese CRM-Zuordnung an Meta übermittelt.

Meta kann die übermittelten Informationen nach Maßgabe seiner eigenen Datenschutzbestimmungen verarbeiten und Daten auch außerhalb der Europäischen Union verarbeiten. Meta Platforms, Inc. ist beim U.S. Department of Commerce als Teilnehmer des EU-U.S. Data Privacy Framework gelistet. Weitere Informationen zur Verarbeitung durch Meta findest du in der Datenschutzrichtlinie von Meta.

Deine Marketing-Einwilligung für die Gutscheinseite kannst du jederzeit über die Cookie-Einstellungen der Gutscheinseite widerrufen. Diese Einstellung stoppt künftige Browser-Pixel-Events und die Übermittlung neuer, zustimmungsabhängiger Gutschein-Formular-Events. Soweit eine vorherige Gutschein-Anfrage im selben Browser-Tab noch sicher zugeordnet werden kann, wird der Widerruf auch für spätere CRM-Meta-Ereignisse übermittelt. Sollte das nicht möglich sein, etwa bei einem anderen Gerät oder einem geschlossenen Browser-Tab, kannst du den Widerruf für eine bereits abgeschickte Anfrage jederzeit über die oben genannten Datenschutz-Kontaktdaten erklären, damit wir ihn zuordnen und berücksichtigen können. Die Cookie-Einstellungen dieser Hauptwebsite betreffen nur die hier eingebundenen Dienste. Ein Widerruf wirkt für die Zukunft; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt (Art. 7 Abs. 3 DSGVO).

Einbindung von Google Maps (Google Ireland Limited). Beim Laden werden technische Informationen an Google übertragen. Nutzung nur nach Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Infos: policies.google.com/privacy

Verarbeitung von Rechnungs-/Zahlungsdaten zur Vertragserfüllung und zu steuerrechtlichen Pflichten (Art. 6 Abs. 1 lit. b und c DSGVO).

Vertrags- und Abrechnungsdaten bewahren wir aufgrund gesetzlicher Aufbewahrungspflichten 10 Jahre auf. Andere personenbezogene Daten, insbesondere Anfragedaten, speichern wir nur so lange, wie es für die Bearbeitung deiner Anfrage erforderlich ist, darüber hinaus nur, soweit gesetzliche Aufbewahrungs- oder Nachweispflichten oder berechtigte Interessen dies erfordern. Anschließend werden die Daten gelöscht. Du kannst die Löschung deiner Daten jederzeit nach Art. 17 DSGVO verlangen, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

Widerruf von Einwilligungen jederzeit (Art. 7 Abs. 3 DSGVO). Widerspruchsrecht nach Art. 21 DSGVO.

Diese Website nutzt SSL/TLS zur sicheren Übertragung. Erkennbar an „https://“ und Schlosssymbol.

Rechte: Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit (Art. 15–20 DSGVO). Beschwerde: LfDI Baden-Württemberg, Königstraße 10a, 70173 Stuttgart.

blood_diamond_ink_boeblingen@web.de – Antwort i. d. R. innerhalb von 14 Tagen.