Datenschutzerklärung

Stand: 30.10.2026

Diese Erklärung beschreibt, welche personenbezogenen Daten beim Besuch dieser Website und bei der Nutzung der Anwendung kundenbuch verarbeitet werden. Sie hat zwei Teile, weil es zwei Rollen gibt:

• Für die Website und für die Konten der Betriebe sind wir Verantwortlicher (Teil A).
• Die Daten der Kundinnen und Kunden, die ein Betrieb in kundenbuch führt, verarbeiten wir im Auftrag dieses Betriebs. Verantwortlich ist der Betrieb (Teil B).

Verantwortlicher

Peter Oswald, Einzelunternehmen
Lemberg 39, 8274 Buch-St. Magdalena, Österreich
E-Mail: office@kundenbuch.at

Teil A — Website und Konten der Betriebe

1. Aufruf der Website

Bei jedem Aufruf speichert der Webserver ein Protokoll: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Statuscode, übertragene Datenmenge, die zuvor besuchte Seite (soweit der Browser sie mitteilt) und die Kennung des Browsers. Zweck ist der sichere Betrieb — etwa das Erkennen und Abwehren von Angriffen. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Die Protokolle werden nach 14 Tagen automatisch gelöscht. Eine Auswertung zu Werbe- oder Statistikzwecken findet nicht statt.

2. Keine Cookies, keine fremden Dienste

Die Seiten dieser Website setzen keine Cookies und speichern nichts in Ihrem Browser. Es werden keine Inhalte von fremden Servern geladen — keine Schriften, keine Karten, keine Videos, keine Analyse- oder Werbedienste, keine Social-Media- Einbindungen. Deshalb gibt es auch kein Cookie-Banner: Es gibt nichts, wozu wir Ihre Einwilligung bräuchten.

Einzige Ausnahme ist die Anmeldung zur Anwendung: Erst wenn Sie die Anmeldeseite öffnen, wird ein Sitzungs-Cookie (kbsess) gesetzt. Es enthält nur eine zufällige Kennung, ist für die Anmeldung technisch unbedingt erforderlich (§ 165 Abs. 3 TKG 2021) und wird beim Abmelden bzw. beim Schließen des Browsers gelöscht.

Dasselbe Sitzungs-Cookie setzt der Knopf „Demo ansehen“: Die Demo zeigt ausschließlich erfundene Daten, endet nach 60 Minuten und speichert nichts von dem, was Sie dort tun. Um Missbrauch zu bremsen, merken wir uns beim Start der Demo Ihre IP-Adresse (bei IPv6 nur den vorderen Teil, das /64-Präfix) und den Zeitpunkt für höchstens eine Stunde (Art. 6 Abs. 1 lit. f DSGVO).

3. Kontakt per E-Mail und Kontaktformular

Wenn Sie uns schreiben, verarbeiten wir Ihre Adresse und den Inhalt der Nachricht, um Ihre Anfrage zu beantworten (Art. 6 Abs. 1 lit. b DSGVO bei Anfragen zu einem Vertrag, sonst lit. f). Die Nachrichten liegen auf unserem eigenen Mailserver auf demselben Server in Wien und werden gelöscht, wenn sie für die Bearbeitung und für gesetzliche Aufbewahrungspflichten nicht mehr gebraucht werden.

Für das Kontaktformular auf der Seite Kontakt gilt dasselbe: Ihre Angaben — Name, E-Mail-Adresse, Anliegen und Nachricht, freiwillig auch Betrieb und Telefonnummer — gehen als E-Mail an office@kundenbuch.at auf unserem eigenen Mailserver; eine Datenbank speichert sie nicht, an Dritte geben wir sie nicht weiter, und eine Kopie an Sie verschicken wir nicht. Zweck ist allein, Ihre Anfrage zu beantworten; Rechtsgrundlage und Löschung wie oben. Zum Schutz vor Spam merken wir uns zu jeder Einsendung den Zeitpunkt und einen gesalzenen, nicht umkehrbaren Prüfwert Ihrer IP-Adresse (bei IPv6 nur des vorderen Teils, des /64-Präfixes) — nicht die Adresse selbst — für 24 Stunden; gelöscht wird er spätestens am Tag darauf (Art. 6 Abs. 1 lit. f DSGVO). Das Formular setzt kein Cookie und lädt nichts von fremden Servern.

4. Konten in der Anwendung

Für Inhaberinnen und Mitarbeiterinnen eines Betriebs speichern wir Name, E-Mail-Adresse, Rolle und Rechte sowie das Kennwort ausschließlich als Hash (argon2id) — das Kennwort selbst kennen wir nicht. Zur Abwehr von Anmeldeangriffen werden Anmeldeversuche mit IP-Adresse, eingegebener E-Mail-Adresse, Zeitpunkt und Ergebnis gespeichert; nach zu vielen Fehlversuchen wird das Konto vorübergehend gesperrt. Diese Anmeldeversuche werden nach 30 Tagen automatisch gelöscht. Die Anwendung protokolliert außerdem, wer eine Kundenkarte angesehen, geändert, gelöscht oder exportiert hat, damit der Betrieb das nachvollziehen kann; dieses Zugriffsprotokoll wird nach 90 Tagen automatisch gelöscht.

Rechtsgrundlage ist der Vertrag mit dem Betrieb (Art. 6 Abs. 1 lit. b DSGVO) und unser berechtigtes Interesse an einem sicheren Betrieb (lit. f). Die übrigen Kontodaten werden mit dem Ende des Vertrags gelöscht, soweit keine gesetzliche Aufbewahrungspflicht besteht (etwa für Rechnungen nach § 132 BAO).

5. Benachrichtigungen auf dem Handy

Wenn Sie in den Einstellungen Benachrichtigungen einschalten, speichert die Anwendung die Zustelladresse, die Ihr Browser dafür erzeugt. Die Meldung vor einem Termin wird über den Push-Dienst des Browserherstellers zugestellt (bei Chrome und Android: Google, bei Safari und iPhone: Apple, bei Firefox: Mozilla). Der Inhalt ist dabei Ende-zu-Ende verschlüsselt (Web-Push-Verschlüsselung nach RFC 8291) — der Push-Dienst sieht, dass an ein Gerät eine Meldung geht, aber nicht, was darin steht. Diese Anbieter können ihren Sitz außerhalb der EU haben. Die Funktion ist freiwillig (Art. 6 Abs. 1 lit. a DSGVO) und lässt sich in den Einstellungen jederzeit wieder abschalten; die Zustelladresse wird dann gelöscht.

Teil B — Daten, die Betriebe in kundenbuch führen

6. Wer verantwortlich ist

Ein Betrieb (z. B. ein Nagelstudio) führt in kundenbuch die Daten seiner Kundinnen und Kunden: Name, Telefonnummer, Notizen, Termine, die Einwilligung zur Terminerinnerung und die verschickten Erinnerungen. Verantwortlich für diese Daten ist der Betrieb. Wir verarbeiten sie nur in seinem Auftrag und nach seinen Weisungen, auf Grundlage eines Vertrags zur Auftragsverarbeitung nach Art. 28 DSGVO (Auftragsverarbeitungsvertrag).

Wenn Sie Kundin oder Kunde eines Betriebs sind und Auskunft, Berichtigung oder Löschung wünschen, wenden Sie sich bitte an den Betrieb — er kann das in kundenbuch direkt erledigen. Erreicht eine solche Anfrage uns, leiten wir sie an den Betrieb weiter.

7. SMS-Erinnerungen

Die Erinnerungen werden über einen SMS-Anbieter zugestellt. Dafür erhält dieser die Telefonnummer der Empfängerin, den Text der Nachricht und die Absendernummer des Betriebs und meldet zurück, ob die Nachricht angekommen ist.

8. Terminanfrage über die Homepage eines Betriebs

Manche Betriebe bieten eine Seite an, auf der man einen Termin anfragen kann (Adressen der Form kundenbuch.at/t/…). Verantwortlich ist der Betrieb, dessen Name auf der Seite steht; wir betreiben die Seite in seinem Auftrag.

Verarbeitet werden die Angaben im Formular (Vor- und Nachname, Handynummer, gewünschte Leistung und Zeit, eine freiwillige Anmerkung, die Zustimmung zur Erinnerung), dazu ein Prüfcode, der per SMS an die angegebene Nummer geht, und ein nicht umkehrbarer Hashwert der IP-Adresse, um Missbrauch zu bremsen. Die Seite setzt keine Cookies.

Wird die Nummer nicht innerhalb von 30 Minuten bestätigt, werden Name und Anmerkung gelöscht; die Telefonnummer bleibt dann nur noch für die Missbrauchsbremse gespeichert. Nicht angenommene Anfragen verfallen, sobald die gewünschte Zeit vorbei ist, und werden 48 Stunden danach gelöscht. Nimmt der Betrieb die Anfrage an, wird daraus ein Termin in seinem Kundenbuch.

Empfänger und Auftragsverarbeiter

Darüber hinaus geben wir keine Daten weiter, verkaufen keine Daten und nutzen die Daten der Betriebe nicht für eigene Zwecke. Eine automatisierte Entscheidungsfindung oder Profilbildung findet nicht statt.

Sicherheit

Alle Verbindungen sind verschlüsselt (TLS, HSTS). Die Daten jedes Betriebs sind von denen anderer Betriebe getrennt, Kennwörter werden nur als Hash gespeichert, der Zugang zum Server ist nur mit kryptografischem Schlüssel möglich. Die Datenbank wird täglich gesichert. Mehr dazu im Auftragsverarbeitungsvertrag.

Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Schreiben Sie uns dazu an die oben genannte Adresse; für Daten aus Teil B wenden Sie sich bitte an den Betrieb.

Wenn Sie meinen, dass die Verarbeitung Ihrer Daten gegen das Datenschutzrecht verstößt, können Sie sich bei der Aufsichtsbehörde beschweren:
Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, dsb@dsb.gv.at, dsb.gv.at