Datenschutz
erklärung

Datenschutzerklärung

Stand: 13. Oktober 2026

1. Verantwortlicher

Supatats UG (haftungsbeschränkt) Travemünder Allee 23 23568 Lübeck Deutschland Vertreten durch den Geschäftsführer Daniel Menius Registergericht: Amtsgericht Lübeck, Registernummer: HRB 27868 HL Umsatzsteuer-Identifikationsnummer gemäß § 27a Umsatzsteuergesetz: DE464501575 E-Mail: info@tatme.com

2. Wer ist wofür verantwortlich?

tatme ist eine Plattform für Tattoo-Artists. Dabei gibt es zwei Rollen:

  • Daten, die Artists über ihre Kundinnen und Kunden in tatme verwalten (Anfragen, Termine, Kontaktdaten, Chats, Einverständniserklärungen mit Anamnese, Check-in-Feedback, Bewertungen): Verantwortlich ist der jeweilige Artist. Wir verarbeiten diese Daten in seinem Auftrag (Art. 28 DSGVO) auf Grundlage unseres Auftragsverarbeitungsvertrags (https://tatme.com/de/legal/avv). Wie der Artist mit deinen Daten umgeht, erfährst du in seiner Datenschutzerklärung, die du bei Anfrage und Einverständniserklärung siehst.
  • Selbst verantwortlich sind wir für die Website tatme.com, die Konten von Artists und Kundinnen und Kunden, die Abrechnung der Abos, Betrieb und Sicherheit der Plattform, die eigenen Auswertungen nach Nr. 5a und, gemeinsam mit Meta, für Meta Pixel und Conversions API nach Nr. 6a.

Wendest du dich wegen Daten an uns, für die ein Artist verantwortlich ist, leiten wir deine Anfrage an ihn weiter.

3. Welche Daten wir verarbeiten

  • Stammdaten (Name, Geburtsdatum)
  • Kontaktdaten (E-Mail-Adresse, Telefonnummer, Anschrift)
  • Anfrage- und Termindaten (Motiv, Platzierung, Größe, Referenzbilder, Termin, Status)
  • Kommunikationsdaten (Chatnachrichten und Bilder zwischen Artist und Kundin bzw. Kunde, E-Mails, SMS, Push-Benachrichtigungen)
  • Dokumentationsdaten (Einverständniserklärung, Zeitstempel, Integritäts-Hash, digitale Unterschrift sowie Nachweisdaten wie IP-Adresse, Browser und Gerät)
  • Gesundheitsdaten (Anamnese), auf Feldebene verschlüsselt gespeichert
  • Check-in-Feedback und Bewertungen
  • Konto- und Login-Daten
  • bei Artists: Abo-, Abrechnungs- und Zahlungsdaten (Nr. 7)
  • technische Daten beim Besuch der Website (IP-Adresse, Browser, aufgerufene Seite, Zeitpunkt)

Die digitale Unterschrift speichern wir als Bild und schützen sie wie Gesundheitsdaten (verschlüsselt). Biometrische Merkmale werten wir daraus nicht aus.

4. Zwecke und Rechtsgrundlagen

  • Bereitstellung der Plattform, Konten, Abwicklung von Anfragen, Terminen und Einverständniserklärungen: Art. 6 Abs. 1 lit. b DSGVO; bei Kundendaten der Artists im Auftrag des Artists
  • Gesundheitsangaben in der Anamnese: ausdrückliche Einwilligung gegenüber dem Artist, Art. 9 Abs. 2 lit. a DSGVO; wir verarbeiten sie im Auftrag des Artists
  • Abo und Abrechnung der Artists, steuer- und handelsrechtliche Aufbewahrung: Art. 6 Abs. 1 lit. b und lit. c DSGVO (Nr. 7)
  • Betrieb, Sicherheit, Missbrauchsabwehr und Protokolle: Art. 6 Abs. 1 lit. f DSGVO
  • Reichweiten- und Performance-Messung: Art. 6 Abs. 1 lit. f DSGVO (Nr. 6)
  • eigene Auswertungen zur Steuerung der Plattform: Art. 6 Abs. 1 lit. f, Art. 6 Abs. 4 DSGVO (Nr. 5a)
  • Meta Pixel und Conversions API, Push-Benachrichtigungen und optionale E-Mail-Informationen: Einwilligung, Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG

5. Konto und automatische Kontoerstellung

Sendest du eine Anfrage, bestätigst du einen Termin oder gibst du eine Einverständniserklärung ab, legen wir ein persönliches tatme-Konto für dich an. Darüber erreichst du sicher deine Dokumente und Informationen. Dafür sind wir selbst verantwortlich (Art. 6 Abs. 1 lit. b DSGVO). Du kannst das Konto jederzeit löschen lassen, eine Nachricht an info@tatme.com genügt.

5a. Eigene Auswertungen zur Steuerung und Weiterentwicklung der Plattform

Wenn Tattoo-Artists tatme nutzen, verarbeiten wir die Daten ihrer Kundinnen und Kunden grundsätzlich im Auftrag der Artists (Auftragsverarbeitung nach Art. 28 DSGVO). Verantwortlich ist dann der jeweilige Artist.

Für die folgenden Auswertungen sind wir, die Supatats UG (haftungsbeschränkt), dagegen selbst verantwortlich. Wir nutzen sie, um tatme zu steuern, Probleme früh zu erkennen und die Plattform zu verbessern.

Welche Auswertungen wir durchführen

  1. Täglicher Kennzahlenbericht: Wir erstellen jeden Tag einen internen Bericht mit Kennzahlen zur Nutzung von tatme, auch aufgeschlüsselt pro Artist. Er enthält unter anderem Zahlen zu Anfragen, Buchungen und Check-ins sowie die Bewertungen, die Kundinnen und Kunden beim Check-in-Feedback abgeben. Freitexte aus dem Check-in-Feedback enthält der Bericht nicht. Den Bericht lassen wir von Google Gemini zusammenfassen. Der Bericht geht per E-Mail an einen kleinen Kreis von Mitarbeitenden bei tatme.
  2. Analysen von Anfragen und Buchungen: Wir werten Anfragen und Buchungen aus, zum Beispiel nach Platzierung, Größe und Wünschen.
  3. Einsicht in Einzeldaten: Soweit es für diese Auswertungen erforderlich ist, sehen Mitarbeitende von tatme und von uns eingesetzte interne KI-Assistenten auch einzelne Datensätze ein.

Welche Daten

  • Angaben aus Anfragen und Buchungen (z. B. Motividee, Platzierung, Größe, Wünsche, Stadt, Datum, Status, Kennung der Buchung)
  • Bewertungen aus dem Check-in-Feedback (ohne Freitexte)
  • Name des Artists
  • Kennzahlen zur Nutzung

Anamnese-Daten (Gesundheitsangaben in der Einverständniserklärung) und die digitale Unterschrift verwenden wir für diese Auswertungen nicht.

Rechtsgrundlage Rechtsgrundlage ist unser berechtigtes Interesse, unsere Plattform zu steuern, ihre Qualität zu sichern und sie weiterzuentwickeln (Art. 6 Abs. 1 lit. f DSGVO). Die Daten wurden ursprünglich erhoben, um Termine bei Tattoo-Artists zu organisieren. Die Weiterverarbeitung für die Auswertungen ist mit diesem Zweck vereinbar (Art. 6 Abs. 4 DSGVO): Sie dient dazu, genau diesen Buchungsablauf zu verbessern, und erfolgt nur intern.

Empfänger

  • Google (Gemini API; Google LLC bzw. die für den Vertrag zuständige Google-Gesellschaft) für die Zusammenfassung des Berichts
  • Resend (Plus Five Five, Inc., USA) für den Versand des Berichts per E-Mail
  • der Anbieter der Plattform, über die unsere internen KI-Assistenten arbeiten
  • unsere Hosting-Anbieter Supabase und Vercel (siehe Abschnitt „Empfänger / Dienstleister“)

Diese Anbieter verarbeiten die Daten in unserem Auftrag.

Übermittlung in Drittländer Google und Resend verarbeiten Daten auch in den USA. Bei der Gemini API ist der Verarbeitungsort nicht festgelegt. Die Übermittlung erfolgt auf Grundlage des EU-U.S. Data Privacy Framework (Art. 45 DSGVO), soweit der Anbieter zertifiziert ist, sonst auf Grundlage von EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Speicherdauer Die zugrunde liegenden Daten bleiben gespeichert, solange sie für den Artist gespeichert sind. Die täglichen Berichte bewahren wir höchstens 12 Monate auf und löschen sie danach.

Dein Widerspruchsrecht (Art. 21 DSGVO) Du kannst dieser Verarbeitung jederzeit aus Gründen widersprechen, die sich aus deiner besonderen Situation ergeben. Eine kurze Nachricht an info@tatme.com genügt. Wir verarbeiten deine Daten dann nicht mehr für diese Auswertungen, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die deine Interessen überwiegen. Die Organisation deines Termins beim Artist bleibt davon unberührt.

Deine übrigen Rechte (Auskunft, Berichtigung, Löschung, Einschränkung, Beschwerde bei einer Aufsichtsbehörde) findest du im Abschnitt „Rechte der betroffenen Personen“ dieser Datenschutzerklärung.

6. Empfänger / Dienstleister

Für den Betrieb von tatme setzen wir die folgenden Dienstleister ein. Sie verarbeiten Daten nur in unserem Auftrag bzw. im Auftrag der Artists. Mit allen haben wir Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen.

  • Supabase, Inc. (USA): Datenbank, Anmeldung, Dateispeicher und Datensicherung. Speicherort ist die EU (Frankfurt am Main); Zugriffe aus den USA, etwa im Rahmen des Supports, sind möglich.
  • Vercel Inc. (USA): Hosting und Server-Funktionen in Frankfurt am Main, Auslieferung der Seiten über ein weltweites Netzwerk, technische Protokolle.
  • Google (Gemini API, Google LLC bzw. die für den Vertrag zuständige Google-Gesellschaft): KI-Funktionen. Dazu gehören die Tattoo-Vorschau auf Artist-Seiten (dein Foto und das Motiv; dein Foto speichern wir nicht), die Umwandlung von Sprachnotizen in Text, Vorschläge und Analysen im Buchungschat (Chatverlauf und bis zu vier Bilder aus Anfrage und Chat; die Analyse läuft teilweise automatisch), die Auswertung von Check-in-Feedback für den Artist, der Assistent für Artists und die Zusammenfassung unseres Kennzahlenberichts (Nr. 5a). Anamnese-Daten gehen nicht an Google. Wir nutzen die kostenpflichtige Gemini API; Google verarbeitet die Daten dort als unser Auftragsverarbeiter und nutzt sie nicht, um eigene Produkte zu verbessern oder Modelle zu trainieren. Ein fester Verarbeitungsort ist bei diesem Dienst nicht festgelegt; Daten können in den USA und anderen Ländern verarbeitet werden.
  • Twilio (Twilio Inc. bzw. die für den Vertrag zuständige Twilio-Gesellschaft): SMS-Code zur Bestätigung beim Check-in (Twilio Verify, USA) und Bewertungs-SMS nach der Session (Region Irland).
  • Resend (Plus Five Five, Inc., USA): Versand von E-Mails, zum Beispiel Bestätigungen, Erinnerungen, Links zu Dokumenten und Bestätigungscodes. Der Versand erfolgt aus Irland; Öffnungs- und Klick-Tracking sind ausgeschaltet.
  • OneSignal, Inc. (USA): Web-Push-Benachrichtigungen an Artists sowie Kundinnen und Kunden, nur wenn du im Browser zugestimmt hast.
  • Stripe: Zahlungsabwicklung für die Abos der Artists, siehe Nr. 7.
  • Zeitstempeldienste (FreeTSA, DigiCert): Zeitstempel nach RFC 3161 für Einverständniserklärungen. Übermittelt wird nur ein Hashwert des Dokuments, keine Inhalte und keine Angaben zu dir.
  • Apify Technologies s.r.o. (Prag, Tschechien): Abruf öffentlicher Instagram-Profildaten von Artists, etwa beim Einrichten der Artist-Seite.
  • Meta Platforms Ireland Limited: nur auf Seiten von Artists, für die wir die Funktion eingeschaltet haben, und nur nach deiner Einwilligung, siehe Nr. 6a.
  • Für die eigenen Auswertungen nach Nr. 5a außerdem die dort genannten Empfänger.

Reichweiten- und Performance-Messung (Vercel Web Analytics, Speed Insights). Wir messen die Nutzung und die Ladezeiten unserer Seiten, auch der Artist-Seiten, mit Diensten unseres Hosters Vercel Inc. (USA). Dabei werden keine Cookies gesetzt. Zur Unterscheidung von Besuchen wird aus der Anfrage ein Hashwert gebildet, der nach 24 Stunden verworfen wird; eine Zuordnung zu deiner IP-Adresse oder Person findet nicht statt. Erfasst werden zum Beispiel aufgerufene Seite, Referrer, Gerätetyp, Browser, Land und Ladezeiten. Rechtsgrundlage ist unser berechtigtes Interesse an einem stabilen und verbesserten Angebot (Art. 6 Abs. 1 lit. f DSGVO).

6a. Meta Pixel und Conversions API auf Artist-Seiten

Manche Artists schalten Anzeigen bei Facebook und Instagram. Damit sie sehen, ob eine Anfrage über eine Anzeige kam, können wir auf ihren Wunsch für ihre Buchungsseite bei tatme Meta Pixel und die Meta Conversions API einschalten. Das betrifft nur Seiten, auf denen wir das eingeschaltet haben. Und es läuft dort nur, wenn du im Banner auf „Erlauben“ geklickt hast.

Wer verantwortlich ist

  • Für das Erheben der Daten auf der Buchungsseite und die Übermittlung an Meta sind wir, die Supatats UG (haftungsbeschränkt), gemeinsam mit Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irland, verantwortlich (Art. 26 DSGVO).
  • Grundlage ist das Controller Addendum von Meta (https://www.facebook.com/legal/controller_addendum). Im Kern heißt das:
    • Wir informieren dich und holen deine Einwilligung ein.
    • Für deine Rechte an den Daten, die Meta erhalten hat, ist Meta zuständig.
    • Deine Anfrage kannst du an uns (info@tatme.com) oder an Meta richten.
  • Was Meta danach mit den Daten macht, verantwortet Meta allein: https://www.facebook.com/privacy/policy

Was an Meta geht

  • Beim Besuch der Seite (Pixel): welche Seiten du aufrufst, technische Angaben deines Browsers und die Meta-Cookies _fbp und _fbc.
  • Wenn du eine Anfrage abschickst (Ereignis „Lead“):
    • gehasht, also nicht im Klartext: E-Mail-Adresse, Telefonnummer, Vor- und Nachname, Ort, PLZ, Land und eine Kennung deiner Anfrage
    • im Klartext: IP-Adresse, Browserkennung (User-Agent) und die Werte der Cookies _fbp und _fbc
    • außerdem die Adresse der Buchungsseite, der Zeitpunkt und ob es um ein Design oder eine eigene Idee geht
  • Nie an Meta: deine Tattoo-Idee, Bilder, Preis, Studio, Gesundheitsangaben oder Inhalte deiner Einverständniserklärung.

Wofür Der Artist sieht, wie gut seine Anzeigen funktionieren, und Meta kann seine Anzeigen besser ausspielen. Der Artist bekommt davon nur zusammengefasste Ergebnisse, keine Daten über dich.

Rechtsgrundlage Deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Für Cookies und das Auslesen deines Geräts gilt § 25 Abs. 1 TDDDG. Ohne deine Einwilligung lädt der Pixel nicht, und beim Abschicken einer Anfrage wird nichts an Meta gesendet. Die Buchungsseite funktioniert genauso.

Widerruf Du kannst deine Einwilligung jederzeit über den Link „Cookie-Einstellungen“ auf der Seite widerrufen, oder per Mail an info@tatme.com. Danach löschen wir die Cookies _fbp und _fbc in deinem Browser und senden nichts mehr an Meta. Was vorher schon übermittelt wurde, bleibt davon unberührt.

Speicherdauer Die Cookies _fbp und _fbc laufen laut Meta etwa 90 Tage. Wie lange Meta die übermittelten Daten speichert, richtet sich nach den Richtlinien von Meta.

Übermittlung in die USA Meta kann Daten auch in den USA verarbeiten. Grundlage ist der Angemessenheitsbeschluss der EU-Kommission zum EU-U.S. Data Privacy Framework (Art. 45 DSGVO). Meta Platforms, Inc. ist danach zertifiziert.

7. Abo und Zahlungsabwicklung über Stripe

Wenn du als Artist ein kostenpflichtiges tatme-Abo (Pro, tatme Max oder Zusatzoptionen wie das Ausblenden des tatme-Badges) abschließt, wickeln wir Bezahlung, Abrechnung und Rechnungsstellung über den Zahlungsdienstleister Stripe ab. Unser Vertragspartner ist die Stripe Payments Europe, Limited, Dublin, Irland ("Stripe").

Stripe nutzen wir nur für das Abo der Artists. Kundinnen und Kunden der Artists zahlen über tatme nichts, und von ihnen geben wir keine personenbezogenen Daten an Stripe weiter.

Ablauf Wählst du einen Plan, leiten wir dich auf eine Bezahlseite von Stripe weiter (checkout.stripe.com). Dort gibst du deine Rechnungsdaten und dein Zahlungsmittel ein. Später kannst du im Stripe-Kundenportal (billing.stripe.com) Name, Rechnungsadresse, USt-IdNr. und Zahlungsmittel ändern, Rechnungen abrufen und dein Abo kündigen. Offene Rechnungen kannst du auf einer Rechnungsseite von Stripe (invoice.stripe.com) bezahlen. Stripe teilt uns Zahlungs-, Rechnungs- und Abo-Ereignisse über eine verschlüsselte Server-Schnittstelle mit (Webhook).

Welche Daten verarbeitet werden

  • Von uns an Stripe: die E-Mail-Adresse deines tatme-Kontos, deine Sprache für Rechnungen und Mails (Deutsch oder Englisch) und interne Kennungen. Das sind deine tatme-Konto-ID, der gebuchte Plan, die Kennung des Abrechnungszeitraums und ggf. Vermerke wie "Nachberechnung" oder "Konto gelöscht".
  • Von dir direkt bei Stripe: Name bzw. Firmenname, Rechnungsadresse (Pflicht), freiwillig deine USt-IdNr. und dein Zahlungsmittel (z. B. Kreditkarte oder IBAN für SEPA-Lastschrift). Eine Telefonnummer fragen wir nicht ab.
  • Bei Stripe entstehend: Abo- und Rechnungsdaten (Plan, Laufzeit, Beträge, Steuer, Zahlungsstatus, Erstattungen), das Ergebnis der Prüfung deiner USt-IdNr. im EU-System VIES sowie technische Daten beim Bezahlvorgang wie IP-Adresse und Geräte- und Browserinformationen. Stripe nutzt sie zur Betrugsabwehr und zur Authentifizierung (z. B. 3-D Secure bei Kartenzahlung).
  • Für Sessions im Paket Pro: Auf der Rechnung stehen nur Anzahl, Zeitraum und Preis, z. B. "Sessions 01.10. bis 31.10.: 3 × 3,99 €". Namen, Termine oder andere Angaben zu deinen Kundinnen und Kunden gehen nicht an Stripe. Die Zählung der Sessions erfolgt bei uns.
  • Bei uns gespeichert: die Verknüpfung deines tatme-Kontos mit deiner Stripe-Kundennummer, ein Abbild deines Abos (Plan, Status, Laufzeit, Preise, Kündigungsvormerkung, offene Zahlungen), deine Abrechnungszeiträume mit Anzahl der Sessions, Beträgen und Rechnungsnummer, die Art deines Zahlungsmittels (nur "Karte" oder "SEPA-Lastschrift") sowie ein Protokoll der empfangenen Stripe-Ereignisse (Ereignis-ID, Typ, Zeitpunkt, ggf. Fehlercode, ohne Inhalt). Kartennummer, IBAN, Name, Adresse und USt-IdNr. speichern wir nicht. Sie liegen nur bei Stripe.

Mails von Stripe Rechnungen, Zahlungsbelege, Erinnerungen bei fehlgeschlagenen Zahlungen und Aufforderungen zur Zahlungsbestätigung (3-D Secure) verschickt Stripe in unserem Auftrag direkt an die E-Mail-Adresse deines Kontos.

Zwecke und Rechtsgrundlagen

  • Abschluss, Durchführung und Abrechnung deines Abos einschließlich Rechnungen, Zahlungseinzug, Planwechsel, Kündigung und Erstattungen: Art. 6 Abs. 1 lit. b DSGVO
  • Rechnungsstellung, Umsatzsteuer (einschließlich Prüfung der USt-IdNr.) und gesetzliche Aufbewahrung: Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 14, § 14b, § 18e UStG, § 147 AO, § 257 HGB
  • sichere Zahlungsabwicklung, Abwehr von Betrug und Zahlungsausfällen: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in einer sicheren und wirtschaftlichen Abwicklung.

Cookies Auf tatme.com binden wir keine Skripte von Stripe ein und setzen keine Stripe-Cookies. Erst auf den Seiten von Stripe (checkout.stripe.com, billing.stripe.com, invoice.stripe.com) setzt Stripe eigene Cookies und ähnliche Technologien, etwa für die sichere Zahlung und die Betrugsabwehr. Dafür ist Stripe verantwortlich, Einzelheiten stehen in der Cookie-Richtlinie von Stripe.

Stripe als Auftragsverarbeiter und als eigener Verantwortlicher Bei der Abwicklung von Zahlungen und Rechnungen für uns ist Stripe unser Auftragsverarbeiter (Art. 28 DSGVO) auf Grundlage der Datenverarbeitungsvereinbarung von Stripe. Für einige Zwecke entscheidet Stripe selbst und ist eigener Verantwortlicher. Dazu gehören Betrugs- und Verlustprävention (z. B. Stripe Radar), eigene gesetzliche Pflichten wie Geldwäscheprävention, die Auswahl von Banken und Zahlungsmittelanbietern sowie die Verbesserung der eigenen Dienste. Verantwortlich sind dann insbesondere die Stripe Technology Company, Limited und die Stripe Payments Europe, Limited (beide Irland), für regulierte Zahlungsdienste im EWR auch die Stripe Technology Europe, Limited (Irland). Dafür gilt die Datenschutzerklärung von Stripe. Deine Rechte kannst du insoweit direkt bei Stripe geltend machen (dpo@stripe.com). Stripe kann Zahlungen automatisiert auf Betrugsrisiken prüfen und verdächtige Zahlungen ablehnen. Wir selbst treffen keine automatisierten Entscheidungen nach Art. 22 DSGVO.

Weitere Empfänger

  • Banken, Kartennetzwerke und Zahlungsmittelanbieter, soweit für die Zahlung nötig
  • Supabase (Datenbank), Vercel (Hosting; technische Protokolle enthalten nur Kennungen)
  • Qonto (Geschäftskonto) für Auszahlungen und Buchhaltung
  • Google (Google Workspace) für Buchhaltungsunterlagen und das Postfach der Buchhaltung
  • unsere Steuerberatung für Buchführung, Steuererklärungen und Archivierung. Sie ist als Berufsgeheimnisträgerin eigene Verantwortliche.
  • Finanzbehörden und Prüfer, soweit wir gesetzlich dazu verpflichtet sind

Übermittlung in Drittländer Stripe kann Daten auch außerhalb des EWR verarbeiten, insbesondere bei der Stripe, LLC in den USA. Die Stripe, LLC ist nach eigenen Angaben unter dem EU-U.S. Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023, Art. 45 DSGVO). Zusätzlich nutzt Stripe EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Stripe nennt außerdem Dienstleister in Indien.

Speicherdauer Rechnungs- und Zahlungsdaten bewahren wir wegen der gesetzlichen Aufbewahrungspflichten gesperrt auf und löschen sie nach Fristende. Gesperrt aufbewahrt werden Rechnungsnummer, Rechnungsdatum, Abrechnungszeitraum, Netto- und Bruttobetrag, Umsatzsteuersatz und -betrag, Zahlungsstatus und deine Stripe-Kundennummer sowie bei Stripe dein Name, deine Rechnungsadresse und deine USt-IdNr. Die Frist beträgt 8 Jahre ab dem Ende des Kalenderjahres, in dem die Rechnung erstellt wurde (§ 147 Abs. 1 Nr. 4, Abs. 3 AO, § 257 Abs. 4 HGB, § 14b Abs. 1 UStG). Sie verlängert sich, solange die steuerliche Festsetzungsfrist noch läuft (§ 147 Abs. 3 S. 5 AO). E-Mails zu deiner Abrechnung bewahren wir als Geschäftsbriefe 6 Jahre auf.

Lässt du dein tatme-Konto löschen, endet dein Abo sofort. Weitere Abrechnungsdaten bei uns, etwa die Zählung der einzelnen Sessions je Abrechnungszeitraum, bewahren wir derzeit ebenfalls gesperrt auf und löschen sie spätestens nach Fristende. Dein Kundenkonto bei Stripe bleibt mit deinen Rechnungen für die Dauer der Aufbewahrung bestehen; dein hinterlegtes Zahlungsmittel und deine E-Mail-Adresse entfernen wir dort, sobald keine Zahlung mehr offen ist. Die gesperrten Daten nutzen wir nur noch für Buchhaltung, Steuer und Prüfungen (Art. 17 Abs. 3 lit. b, Art. 18 DSGVO). Wie lange Stripe als eigener Verantwortlicher Daten speichert, steht in der Datenschutzerklärung von Stripe.

Pflicht zur Bereitstellung Ohne Rechnungsadresse und Zahlungsmittel können wir kein Abo abschließen. Die Angabe einer USt-IdNr. ist freiwillig. Gibst du als Artist mit Sitz in der EU außerhalb Deutschlands keine bestätigte USt-IdNr. an, stellen wir die Rechnung mit deutscher Umsatzsteuer aus.

Mehr zu Stripe: https://stripe.com/de/privacy und https://stripe.com/legal/privacy-center

8. Cookies und ähnliche Technologien

Für Anmeldung, Sitzung, Spracheinstellung und die Speicherung deiner Cookie-Auswahl speichern wir technisch notwendige Informationen in deinem Browser (Cookies bzw. lokaler Speicher). Das ist für den Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

Nur mit deiner Einwilligung (§ 25 Abs. 1 TDDDG):

  • die Push-Kennung von OneSignal, wenn du Push-Benachrichtigungen im Browser erlaubst. Du kannst das jederzeit in deinen Browser-Einstellungen widerrufen.
  • die Meta-Cookies _fbp und _fbc auf Artist-Seiten mit eingeschaltetem Meta Pixel (Nr. 6a). Deine Auswahl kannst du dort jederzeit über den Link „Cookie-Einstellungen“ ändern.

Vercel Web Analytics setzt keine Cookies (Nr. 6). Auf den Bezahlseiten von Stripe setzt Stripe eigene Cookies (Nr. 7).

9. Speicherdauer

  • Daten im Auftrag der Artists (Kundendaten, Termine, Chats, Bilder und Dokumente, Einverständniserklärungen mit Anamnese und Unterschrift): solange der Artist sie in tatme speichert. Lässt der Artist sein Konto löschen oder weist er uns an, Daten zu löschen, löschen wir sie einschließlich der gespeicherten Dateien spätestens 30 Tage nach Eingang der Löschweisung. Unterschriebene oder widerrufene Einverständniserklärungen muss der Artist aufbewahren; wir speichern sie in seinem Auftrag weiter, bis er sie abgerufen hat und die Löschung verlangt, längstens 10 Jahre nach der Unterzeichnung. Ebenso gesperrt aufbewahrt werden die zur Zuordnung nötigen Angaben zum Artist und das unveränderliche Protokoll zu Einverständniserklärungen (Zeitpunkt, Statuswechsel, IP-Adresse, Browserkennung), auch zu nicht unterschriebenen Erklärungen, längstens 10 Jahre. Dateien, die sich technisch keinem Konto mehr zuordnen lassen, löschen wir in gesonderten Bereinigungsläufen. Datensicherungen werden im Rahmen der regulären Rotation des Hosting-Anbieters überschrieben.
  • Dein persönliches tatme-Konto: bis zur Löschung deines Kontos, die du jederzeit unter info@tatme.com verlangen kannst. Dokumente, die über deine Kontaktdaten mit deinem Konto verknüpft sind, bleiben dort abrufbar, auch wenn der Artist sein Konto löschen lässt. Dokumente, die du nur über eine Buchung gesehen hast, sind dann in deinem Konto nicht mehr abrufbar.
  • Konto von Artists: bis zur Löschung des Kontos auf Antrag des Artists. Bewahren wir danach Einverständniserklärungen oder Rechnungsdaten auf, bleibt ein gesperrter Rest des Kontos (Kennung, Name, E-Mail-Adresse) gespeichert, damit wir die Unterlagen zuordnen und herausgeben können, längstens bis zum Ende dieser Aufbewahrung.
  • Rechnungs- und Zahlungsdaten von Artists: gesperrt 8 Jahre ab Ende des Kalenderjahres der Rechnung, danach gelöscht (Nr. 7).
  • Kennzahlenberichte: höchstens 12 Monate (Nr. 5a).
  • Server-Protokolle mit IP-Adressen: höchstens 30 Tage.
  • Meta-Cookies: etwa 90 Tage (Nr. 6a).

10. Übermittlung in Drittländer

Einige Dienstleister haben ihren Sitz in den USA oder verarbeiten Daten dort (Nr. 5a, 6, 6a und 7). Übermittlungen stützen wir auf den Angemessenheitsbeschluss der EU-Kommission zum EU-U.S. Data Privacy Framework (Art. 45 DSGVO), soweit der Empfänger danach zertifiziert ist, im Übrigen auf EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Bei der Gemini API von Google ist kein fester Verarbeitungsort festgelegt.

11. Rechte der betroffenen Personen

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Eine kurze Nachricht an info@tatme.com genügt.

Widerspruchsrecht (Art. 21 DSGVO): Verarbeiten wir Daten auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO), kannst du jederzeit aus Gründen, die sich aus deiner besonderen Situation ergeben, widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die deine Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Beschwerderecht: Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD), Holstenstraße 98, 24103 Kiel, mail@datenschutzzentrum.de, www.datenschutzzentrum.de.

12. Pflicht zur Bereitstellung, keine automatisierten Entscheidungen

Für ein Konto, eine Anfrage oder ein Abo brauchen wir die als Pflicht gekennzeichneten Angaben; ohne sie können wir die Funktion nicht bereitstellen. Gesetzlich verpflichtet bist du dazu nicht. Automatisierte Entscheidungen im Einzelfall nach Art. 22 DSGVO treffen wir nicht; zur Betrugsprüfung durch Stripe siehe Nr. 7. Die KI-Funktionen machen Vorschläge, entscheiden tut der Artist.

13. Datensicherheit

Wir übertragen Daten nur verschlüsselt (TLS). Anamnese und Unterschrift sind zusätzlich auf Feldebene verschlüsselt, und der Zugriff in der Datenbank ist pro Konto beschränkt. Einzelheiten stehen in Anlage 2 unseres Auftragsverarbeitungsvertrags.

14. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich unsere Verarbeitung ändert. Es gilt die jeweils hier veröffentlichte Fassung.