Datenschutzerklärung

Zuletzt aktualisiert: September 2026

1. Überblick

StudioBook („wir“, „uns“) nimmt den Schutz deiner personenbezogenen Daten ernst. Diese Datenschutzerklärung erläutert, welche Daten wir erheben, warum wir sie verarbeiten und welche Rechte du nach der Datenschutz-Grundverordnung (DSGVO) hast.

2. Verantwortlicher

Marcel Jurna
Am Glockenberg 52
51515 Kürten, Deutschland
Telefon: +49 1525 3619145
E-Mail: hello@studiobook.app

3. Erhobene Daten

3.1 Kontodaten (Studioinhaber)

Bei der Erstellung eines StudioBook-Kontos erheben wir:
- Vollständiger Name
- E-Mail-Adresse
- Studioname und Einstellungen
- Sprachpräferenz

3.2 Kontodaten (Mitglieder)

Wenn Mitglieder ein Konto über die Buchungsseite eines Studios erstellen:
- Vollständiger Name
- E-Mail-Adresse
- Kontoerstellung per E-Mail oder Google OAuth
- Telefonnummer, sofern du eine hinterlegst
- Postanschrift, aber nur, wenn du einen Tarif mit Mindestlaufzeit abschließt oder dein Studio dich aus einem anderen Buchungssystem übernommen hat, das bereits eine hinterlegt hatte — siehe 3.2a
- Geburtsdatum, wenn du in deinen Kontoeinstellungen eines einträgst — oder wenn dein Studio dich aus einem anderen Buchungssystem übernommen hat, das deines bereits führte; dann hat es das Studio hinterlegt und nicht du. Freiwillig ist es in beiden Fällen, wir fragen dich nie danach, und du kannst es jederzeit wieder löschen. Es ist für dein Studio sichtbar und wird nie für Werbung genutzt.

3.2a Anschrift (nur bei Tarifen mit Mindestlaufzeit)

Ein Tarif mit einer Mindestlaufzeit von mehr als einem Monat ist ein Vertrag mit fester Laufzeit. Bevor du einen abschließen kannst, fragen wir nach deiner Postanschrift.

Warum wir sie brauchen: Eine Rechnung ab 250 € muss von Gesetzes wegen deine vollständige Anschrift ausweisen (§ 14 UStG). Und wenn Zahlungen aus einem solchen Vertrag streitig werden, kann ein Mahnbescheid dich nur mit Anschrift benennen (§ 690 ZPO).

Was wir damit nie tun: Sie wird nicht für Werbung genutzt, und du wirst auf ihrer Grundlage in keinen Verteiler aufgenommen. Sichtbar ist sie für das Studio, bei dem du den Tarif abgeschlossen hast, und für niemanden sonst.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Vertrags, den du abschließt.

Wenn du nur Einzelstunden buchst, Kreditpakete kaufst oder einen monatlich kündbaren Tarif hast, wirst du nie danach gefragt. Du kannst sie jederzeit unter Konto → Einstellungen einsehen, korrigieren oder löschen.

3.3 Gast-Buchungsdaten

Für Drop-in-Buchungen ohne Konto (Gast-Checkout):
- Vollständiger Name
- E-Mail-Adresse
- Marketing-Einwilligung, getrennt pro Studio (ja/nein, mit Zeitstempel der Einwilligung)

Für die Buchung wird automatisch ein eingeschränktes Konto angelegt. Gastkonten werden 12 Monate nach der letzten Buchung anonymisiert, sofern sie nicht in ein vollständiges Konto umgewandelt wurden. Du kannst dein Gastkonto jederzeit über den Link in der Buchungsbestätigung in ein vollständiges Konto umwandeln.

3.3a Eingeladene Begleitpersonen (jemand hat dich für einen Kurs gebucht)

Mitglieder können Freundinnen und Freunde auf ihrer eigenen Buchung mitnehmen und uns dafür einen Namen und – optional – eine E-Mail-Adresse geben, damit wir dir sagen können, wann und wo es losgeht. Wenn du so von uns gehört hast, gilt: Du hast uns deine E-Mail-Adresse nicht gegeben, sondern die Person, die dich gebucht hat. Art. 14 DSGVO verpflichtet uns, dir das zu sagen – dafür ist dieser Abschnitt da, und der Hinweis am Ende der betreffenden E-Mail.

Was wir über dich speichern:
- Den Namen und die E-Mail-Adresse, die das Mitglied eingetragen hat
- Den auf deinen Namen reservierten Platz für diesen einen Kurs und ob du teilgenommen hast
- Einen nicht erratbaren Link (Token) zu einer Seite über genau diese Buchung
- Deine Antwort auf eine Frage, die das Studio an diesen Kurs geknüpft hat (siehe 3.8)

Was wir damit machen:
- Wir schicken dir die Kursdetails und – falls jemand anderes deinen Platz freigibt – die Info, dass er storniert wurde. Sonst nichts.
- Du wirst in keinen Verteiler aufgenommen und bekommst auf Basis dieser Adresse keine Werbung, weder von uns noch vom Studio.
- Über den Link kannst du die Buchung ansehen, den Platz freigeben, die Frage des Studios selbst beantworten und den Kurs, wenn du magst, in dein eigenes StudioBook-Konto übernehmen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO – das berechtigte Interesse, deines ebenso wie das des Studios, dass du von einem auf deinen Namen reservierten Platz erfährst. Das Mitglied kann nicht für dich einwilligen. Es wird gebeten zu bestätigen, dass es deine Zustimmung hatte, bevor es deine E-Mail-Adresse weitergibt; das ist die Dokumentation dieser Nachfrage, keine Rechtsgrundlage für sich. Eine gesundheitsbezogene Antwort von dir verarbeiten wir auf Grundlage deiner eigenen ausdrücklichen Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO.

Wenn du unter dieser Adresse bereits ein StudioBook-Konto hast, wird der Platz automatisch damit verknüpft, sodass der Kurs in deiner eigenen Buchungsübersicht auftaucht. Die Buchung selbst bleibt bei der Person, die sie bezahlt hat: Du bekommst Lesezugriff auf deinen Platz und deine eigene Antwort, nie auf ihre Zahlungsdaten.

Aufbewahrung: Dein Name und deine E-Mail-Adresse werden spätestens drei Tage nach dem Kurs gelöscht. Für den Buchungs- und Teilnahmedatensatz selbst gilt Abschnitt 6.

Deine Rechte: Du kannst dieser Verarbeitung jederzeit widersprechen (Art. 21 DSGVO) und die Löschung deiner E-Mail-Adresse verlangen – schreib an hello@studiobook.app oder direkt an das Studio. Wenn du deinen Platz über den Link freigibst, endet damit auch jede weitere E-Mail zu diesem Kurs.

3.3b Vom Studio eingetragene Mitglieder (ein Studio hat dich in seine Mitgliederliste aufgenommen)

Studios können eigene Kund:innen von Hand in StudioBook eintragen – bei Walk-ins, bei telefonischen Buchungen oder wenn sie ihre Kundenliste aus einem anderen Buchungssystem übernehmen. Wenn du so von uns gehört hast, gilt: Du hast uns deine Daten nicht gegeben, sondern das Studio. Art. 14 DSGVO verpflichtet uns, dir das zu sagen.

Was wir über dich speichern:
- Namen und E-Mail-Adresse, die das Studio eingetragen hat, eine Telefonnummer, sofern das Studio eine hinterlegt hat, sowie eine interne Notiz, die das Studio zu dir schreiben kann (nur für dieses Studio sichtbar)
- Hat das Studio seine Kundenliste aus einem anderen Buchungssystem übernommen: alles, was dieses System bereits zu dir führte — dazu können deine Postanschrift und dein Geburtsdatum gehören. Das Studio hatte diese Daten, bevor es StudioBook für dich gab; es hat entschieden, sie mitzunehmen, und es steht dafür ein. Beides kannst du unter Konto → Einstellungen berichtigen oder löschen.
- Einen Kontodatensatz ohne Passwort, in den sich niemand einloggen kann, bis du selbst eines vergibst
- Deine Buchungen in diesem Studio und eine Karte, die das Studio auf deinen Namen hinterlegt

Was wir damit machen:
- Wenn das Studio es veranlasst, schicken wir dir eine Nachricht, die dir sagt, dass das Konto existiert, wer es angelegt hat und wie du ein Passwort vergibst. Das ist ein Hinweis auf einen Datensatz, keine Werbung.
- Du landest auf keinem Verteiler. Das Studio kann weder Werbung in deinem Namen zustimmen noch unsere Bedingungen für dich akzeptieren – beides bleibt offen, bis du selbst handelst.
- Wenn du nie reagierst, passiert nichts weiter: Das Studio kann dich weiterhin für Kurse eintragen, und du bekommst dazu die normalen Buchungsbestätigungen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b oder lit. f DSGVO im Verhältnis zwischen dir und dem Studio – das Studio ist für seine eigene Kundenliste verantwortlich und entscheidet, wessen Daten es einträgt. StudioBook verarbeitet sie im Auftrag des Studios.

Deine Rechte: Jede solche Nachricht enthält einen Link, über den du dich ohne Konto entfernen lassen kannst. Darüber wird deine Mitgliedschaft in diesem Studio gelöscht – und wenn du nie ein Passwort vergeben hast und zu keinem anderen Studio gehörst, auch das Konto selbst. Du kannst jederzeit widersprechen (Art. 21 DSGVO) – schreib an hello@studiobook.app oder direkt an das Studio.

3.4 Buchungsdaten

Wenn Mitglieder Kurse buchen:
- Buchungshistorie (gebuchte Kurse, Stornierungen, Wartelisteneinträge)
- Anwesenheitsaufzeichnungen
- Kredit-/Mitgliedschaftsnutzung

3.5 Zahlungsdaten

• Zahlungstransaktionen werden vollständig über Stripe abgewickelt. Wir speichern keine Kreditkartennummern, Bankdaten oder sonstige Zahlungsinformationen auf unseren Servern.
• Wir speichern eine Referenz zur Stripe-Kunden-/Konto-ID zur Abstimmung.

3.6 Nutzungsdaten

Auf unserer Marketing-Website (studiobook.app) setzen wir Plausible Analytics ein, um zu verstehen, wie Besucher unsere Seiten finden und nutzen. Plausible ist ein datenschutzfreundliches, cookie-freies Web-Analyse-Tool. Erhobene Daten:
- Seiten-URL, Referrer, Einstiegs-/Ausstiegsseite
- Browser, Betriebssystem, Gerätetyp, Land (aus der IP abgeleitet, die IP selbst wird anschließend verworfen und nicht gespeichert)
- Ein täglich rotierender, gehashter Besucher-Indikator (keine dauerhafte Kennung, keine Cookies, kein seitenübergreifendes Tracking)

Es werden keine personenbezogenen Daten an Dritte weitergegeben. Wir betreiben unsere eigene Plausible-Instanz auf EU-Infrastruktur (Hetzner Online GmbH, Deutschland), sodass Besucherdaten die EU nicht verlassen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Messung der Marketing-Wirksamkeit). Du kannst der Verarbeitung jederzeit unter hello@studiobook.app widersprechen.

Plausible läuft nicht im StudioBook-Dashboard (app.studiobook.app) und auch nicht auf den öffentlichen Buchungsseiten der Studios — es ist ausschließlich auf der Marketing-Website (studiobook.app) eingebunden.

3.6a Sprachversion-Hinweis (Marketing-Website)

Auf der Marketing-Website nutzen wir deinen ungefähren Standort — nur das Land, aus deiner IP-Adresse durch unseren Hosting-Anbieter (Vercel) am Netzwerk-Edge abgeleitet —, um zu entscheiden, ob wir Besuchern aus Deutschland, Österreich oder der Schweiz die deutschsprachige Version vorschlagen. Deine IP-Adresse speichern wir zu diesem Zweck nicht. Wenn du den Hinweis schließt, merken wir uns das im localStorage deines Browsers, damit er nicht erneut erscheint; das erkannte Land wird nur für die aktuelle Browser-Sitzung im sessionStorage zwischengespeichert. Es werden keine Cookies gesetzt und es findet kein seitenübergreifendes Tracking statt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse daran, Besuchern die passendste Sprachversion zu zeigen).

3.6b Adressvorschläge (Studio-Einstellungen)

Wenn ein Studio-Inhaber in den Studio-Einstellungen einen Standort anlegt oder bearbeitet, wird der eingegebene Adresstext an die Google Places API übermittelt, um Adressvorschläge zurückzugeben. Das geschieht serverseitig: Die Anfrage stellt unser eigenes Backend, dein Browser nimmt also keinen Kontakt zu Google auf, es wird kein Google-Skript geladen und kein Cookie gesetzt. Google erhält den von dir eingegebenen Text und die IP-Adresse unseres Servers — nicht deine.

Übernimmst du einen Vorschlag, speichern wir die daraus resultierende Adresse (Straße, PLZ, Ort und ggf. Bundesstaat) als eigene Adresse deines Studios, zusammen mit der Kennung, die Google für diesen Ort vergibt („Place ID"), aus der wir einen präzisen Kartenlink erzeugen. Weitere von Google zurückgegebene Daten speichern wir nicht.

Das betrifft ausschließlich Studio-Inhaber. Mitglieder sind daran nicht beteiligt, und es werden zu keinem Zeitpunkt Mitgliederdaten an Google übermittelt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — Bereitstellung der Studioverwaltung). Die Nutzung der Vorschläge ist freiwillig; die Adresse lässt sich jederzeit von Hand eintragen.

Kartenlinks: Hat ein Studio einen Standort hinterlegt, enthalten die Kursdetails und Buchungsbestätigungen einen Link „Route anzeigen" zu Google Maps. Diesem Link zu folgen ist deine eigene Entscheidung und führt dich auf die Website von Google, wo die Datenschutzerklärung von Google gilt und Google Cookies setzen kann. In unsere Seiten ist keine Google-Karte und kein Google-Skript eingebettet.

3.6c Performance-Messung (Buchungsseite und Website)

Auf den öffentlichen Buchungsseiten der Studios und auf unserer eigenen Website (studiobook.app) messen wir mit Vercel Speed Insights, wie schnell die Seiten für echte Besucher:innen tatsächlich laden. Vercel hostet diese Anwendung ohnehin (siehe Tabelle der Auftragsverarbeiter weiter unten) — es kommt also kein neues Unternehmen hinzu.

Pro Messung wird ausschließlich festgehalten: das Routen-Muster (z. B. "/book/:slug", nie der Query-String), der Pfad der Seite, dein Browser samt Version, Gerätetyp und Betriebssystem, die Klasse deiner Verbindungsgeschwindigkeit (z. B. "4g"), dein Land (nur das Länderkürzel) sowie die Messwerte selbst — wie lange die Seite zum Darstellen und zum Reagieren gebraucht hat. Es werden keine Cookies gesetzt, keine Kennung in deinem Browser gespeichert, deine IP-Adresse wird nicht gespeichert, und die Messwerte lassen sich weder dir zuordnen noch seitenübergreifend zu einer Sitzung zusammenfügen.

Seiten, deren Adresse selbst einen persönlichen Link enthält, sind vollständig ausgenommen — für sie wird gar keine Messung gesendet: Gast-Einladungen ("/g/…"), Stornierungslinks ("/cancel/…") und sämtliche Anmeldeseiten ("/auth/…"). Query-Strings werden in allen anderen Fällen vor dem Senden entfernt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer Buchungsseite, die schnell lädt und auf den Geräten funktioniert, die unsere Mitglieder tatsächlich benutzen). Du kannst jederzeit widersprechen unter hello@studiobook.app.

3.7 Zugriff des Plattformbetreibers

Als Plattformbetreiber hat StudioBook Zugriff auf Statistiken auf Studioebene für den Betrieb, Support und die Produktverbesserung. Dies umfasst: Mitgliederanzahl, Buchungsanzahl, Abonnementstatus und Umsatzdaten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). Diese Daten werden ausschließlich zum Betrieb und zur Verbesserung der Plattform verwendet und niemals zu Marketingzwecken an Dritte weitergegeben.

3.8 Besondere Kategorien personenbezogener Daten (Gesundheitsdaten — Art. 9 DSGVO)

Studio-Inhaber können an zwei Stellen gesundheitsbezogene Informationen von ihren Mitgliedern erheben: über Aufnahmeformulare (einmalig bei der ersten Buchung) und über eine Zusatzfrage bei einzelnen Kursen (bei jeder Buchung dieser Kurse — z. B. betreuungsrelevante Angaben bei Kinderangeboten, bei denen ein Kind ohne Begleitung teilnimmt). Beides stellt „besondere Kategorien“ personenbezogener Daten gemäß Art. 9 DSGVO dar.

• Verantwortlicher: Der Studio-Inhaber ist der datenschutzrechtlich Verantwortliche für diese Daten. Allein er bestimmt, welche Fragen in welchem Wortlaut gestellt und wie die Antworten verwendet werden.
• Auftragsverarbeiter: StudioBook speichert und verarbeitet diese Daten im Auftrag des Studio-Inhabers als Auftragsverarbeiter (Art. 28 DSGVO). Wir prüfen, bewerten oder verwenden den Inhalt nicht.
• Rechtsgrundlage: Art. 9 Abs. 2 lit. a DSGVO — ausdrückliche Einwilligung der betroffenen Person. Die Einwilligung erfolgt über ein separates, nie vorausgewähltes Kontrollkästchen und wird zusammen mit dem exakt angezeigten Wortlaut protokolliert, sodass sie auch nach einer späteren Textänderung des Studios nachvollziehbar bleibt. Betreffen die Angaben ein Kind, erteilt der Erziehungsberechtigte die Einwilligung.
• Wer antwortet: immer die Person, um die es geht. Bringt ein Mitglied eine Begleitperson zu einem Kurs mit einer solchen Frage mit, beantwortet die Begleitperson sie selbst über den Link in ihrer Einladung (siehe 3.3a) — das Mitglied wird nie gebeten, die Gesundheit einer anderen erwachsenen Person zu beschreiben, denn es kann dafür keine wirksame Einwilligung erteilen. Betreffen die Angaben ein Kind, antwortet und willigt der Erziehungsberechtigte ein.
• Zugriff: Nur der Studio-Inhaber und dessen Personal können diese Angaben einsehen. Andere Teilnehmende sehen sie nie. Wenn du als eingeladene Begleitperson über dich selbst geantwortet hast, kannst du deine Antwort über deinen Buchungslink nachlesen — oder in deinem StudioBook-Konto, falls du den Platz dorthin übernommen hast. StudioBook-Mitarbeiter greifen auf diese Daten nur zu, wenn dies für den technischen Support mit ausdrücklicher Genehmigung des Studio-Inhabers erforderlich ist.
• Aufbewahrung: Antworten aus Aufnahmeformularen werden aufbewahrt, solange du ein Konto beim Studio hast — sie bleiben dem Studio während deiner Mitgliedschaft verfügbar — und werden mit der Löschung dieses Kontos entfernt. Antworten auf eine kursbezogene Zusatzfrage gehören zur jeweiligen Buchung und werden 30 Tage nach dem Termin automatisch gelöscht; wird ein Bezahlvorgang abgebrochen und entsteht keine Buchung, werden sie nach 7 Tagen gelöscht.
• Deine Rechte: Du kannst jederzeit Auskunft über diese Daten verlangen, deren Berichtigung oder Löschung beantragen, indem du dich direkt an das Studio wendest oder dein StudioBook-Konto löschst.

3.9 Kalender-Abo (optional)

Du kannst dein StudioBook-Programm in deiner eigenen Kalender-App abonnieren. Das ist vollständig freiwillig: Es entsteht nichts, bevor du es unter Konto → Einstellungen anforderst — wer die Funktion nie nutzt, hat auch keinen Kalender-Link.

• Was der Link enthält: die Kurse, für die du gebucht bist — Titel, Beschreibung, Name der Trainer:in, Studioname, Datum, Uhrzeit und Dauer — über alle Studios hinweg, bei denen du buchst, von 60 Tagen in der Vergangenheit bis 12 Monate in die Zukunft. Er enthält keine Zahlungsdaten, keine Daten anderer Mitglieder und nichts zu Kursen, die du nicht gebucht hast.
• Wie er gesichert ist: Der Link enthält ein 244 Bit langes Zufallstoken, und dieses Token *ist* der Zugang — keine Kalender-App (Google, Apple, Outlook) kann beim Abrufen eines Abos ein Passwort oder einen Login mitsenden. Wer den Link hat, kann das Programm dahinter lesen. Behandle ihn wie ein Passwort. Wir speichern ausschließlich einen kryptografischen Hash des Tokens, niemals das Token selbst — deshalb wird dir der Link genau einmal angezeigt und kann danach nicht erneut eingeblendet werden.
• Widerruf: Du kannst den Link jederzeit unter Konto → Einstellungen zurücksetzen. Der alte Link funktioniert sofort nicht mehr. Tu das, wenn du vermutest, dass ihn jemand gesehen hat, für den er nicht bestimmt war.
• Dritte, die du selbst einbindest: Wenn du den Link in Google Kalender, Outlook oder einen anderen gehosteten Kalender einträgst, rufen die Server dieses Anbieters den Link eigenständig ab. Die oben genannten Inhalte werden dabei an ihn übermittelt und dort in deinem Kalender gespeichert. Diese Übermittlung geht von dir aus und richtet sich nach der Datenschutzerklärung des jeweiligen Anbieters — einschließlich einer möglichen Übermittlung in ein Drittland außerhalb der EU. Wenn du das nicht möchtest, erstelle den Link nicht oder nutze eine Kalender-App, die die Daten nur auf deinem eigenen Gerät speichert.
• Was wir protokollieren: den Zeitpunkt des letzten Abrufs, jeweils überschrieben, damit der Support erkennen kann, ob ein Kalender den Feed überhaupt je abgerufen hat. Eine Historie darüber, wann oder wie oft du hineingeschaut hast, führen wir nicht.
• Speicherdauer: Der Link besteht, bis du ihn zurücksetzt oder dein Konto löschst — dann wird er automatisch entfernt.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — Bereitstellung des Buchungsdienstes) in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO (deine Einwilligung, erteilt durch das Erstellen des Links).

3.10 Familienprofile (Kinder)

Wenn dein Studio Kinderkurse anbietet, kannst du deine Kinder in deinem eigenen Konto anlegen
und bei der Buchung auswählen, wer teilnimmt. Ein Kinderprofil ist kein Konto: Es hat keine
E-Mail-Adresse, kein Passwort und keinen Login, und dein Kind wird nie selbst Nutzer:in von
StudioBook.

• Was wir speichern: Vorname, Nachname und — nur wenn du es einträgst — ein Geburtsdatum.
• Wer die Angaben macht: du als sorgeberechtigte Person. Ein Studio kann kein Kinderprofil
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die Buchung selbst (Erfüllung des Vertrags,
• Wer es sehen kann: Ein Studio sieht ein Kind von dir nur dort, wo dieses Kind bei
• Wofür es nie verwendet wird: Wir senden nie Werbung an oder über ein Kind, erstellen kein
• Gesundheits- oder Betreuungsangaben zu einem Kind werden nicht im Profil gespeichert.
• Kind entfernen: Du kannst ein Kind jederzeit aus deinem Konto entfernen. Das Profil

4. Rechtsgrundlagen der Verarbeitung

Wir verarbeiten personenbezogene Daten auf folgenden Rechtsgrundlagen:
- Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung: Bereitstellung des Buchungs- und Studiomanagement-Dienstes, Zahlungsabwicklung, Versand transaktionaler E-Mails (Buchungsbestätigungen, Erinnerungen, Stornierungsbenachrichtigungen).
- Art. 6 Abs. 1 lit. f DSGVO — Berechtigtes Interesse: Verbesserung des Produkts auf Basis aggregierter Nutzungsmuster, Sicherstellung der Plattformsicherheit sowie die Information einer eingeladenen Begleitperson über einen auf ihren Namen reservierten Platz (siehe 3.3a).
- Art. 6 Abs. 1 lit. a DSGVO — Einwilligung: soweit ausdrücklich erteilt (z.B. Marketing-Kommunikation, falls zutreffend).

5. Drittanbieter (Auftragsverarbeiter)

Wir nutzen die folgenden Drittanbieter zum Betrieb von StudioBook. Mit allen Auftragsverarbeitern bestehen Auftragsverarbeitungsverträge (Art. 28 DSGVO).

Stripe Connect

Studioinhaber verbinden ihr eigenes Stripe-Konto über Stripe Connect Express. Mitgliederzahlungen fließen direkt auf das verbundene Stripe-Konto des Studioinhabers. StudioBook fungiert als Plattform, hält oder verarbeitet aber keine Mitgliederzahlungen.

6. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die in dieser Erklärung beschriebenen Zwecke erforderlich ist oder gesetzlich vorgeschrieben wird. Konkrete Aufbewahrungsfristen:

Wenn du dein Konto löschst, werden alle personenbezogenen Daten sofort gelöscht. Zahlungs- und Transaktionsdaten (Stripe-Referenzen, Beträge, Daten), die steuerrechtlich aufbewahrt werden müssen, bleiben 10 Jahre gespeichert (§ 147 AO / § 257 HGB). Diese gesetzliche Pflicht überwiegt das Recht auf Löschung (Art. 17 Abs. 3 lit. b DSGVO).

Daten in verschlüsselten Backups werden durch die normale Backup-Rotation innerhalb von 30 Tagen gelöscht.

7. Deine Rechte

Nach der DSGVO hast du folgende Rechte:
- Auskunftsrecht (Art. 15) — eine Kopie deiner personenbezogenen Daten erhalten
- Recht auf Berichtigung (Art. 16) — unrichtige Daten korrigieren lassen
- Recht auf Löschung (Art. 17) — dein Konto und alle damit verbundenen Daten löschen lassen
- Recht auf Einschränkung (Art. 18) — Verarbeitung unter bestimmten Voraussetzungen einschränken
- Recht auf Datenübertragbarkeit (Art. 20) — deine Daten in einem maschinenlesbaren Format erhalten
- Widerspruchsrecht (Art. 21) — der Verarbeitung aufgrund berechtigten Interesses widersprechen
- Recht auf Widerruf der Einwilligung (Art. 7 Abs. 3) — jederzeit die Einwilligung widerrufen (z. B. Marketing-E-Mails). Der Widerruf berührt nicht die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung. Die Marketing-Einwilligung wird für jedes Studio getrennt erteilt und widerrufen — jedes Studio ist ein eigenständiger Verantwortlicher, sodass die Einwilligung bei einem Studio (oder die Abmeldung davon) kein anderes Studio betrifft. Du kannst die Einwilligung für ein Studio jederzeit über den Abmeldelink in jeder seiner Marketing-E-Mails oder pro Studio in deinen Kontoeinstellungen widerrufen.

Zur Ausübung dieser Rechte kontaktiere uns unter: hello@studiobook.app

Du hast außerdem das Recht, eine Beschwerde bei einer Aufsichtsbehörde einzureichen. Die für uns zuständige Behörde ist:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)
Kavalleriestr. 2–4, 40213 Düsseldorf
https://www.ldi.nrw.de

8. Cookies

StudioBook verwendet ausschließlich technisch notwendige Cookies:
- Authentifizierungs-Session — hält deinen Anmeldestatus aufrecht
- Sprachpräferenz — speichert deine gewählte Sprache (localStorage, kein Cookie)
- Deutsche-Version-Hinweis (nur Marketing-Website) — wenn du den Banner, der die deutsche Seite vorschlägt, schließt, merken wir uns das im localStorage; das dafür erkannte Land wird für die Sitzung im sessionStorage zwischengespeichert (siehe § 3.6a). Beides sind keine Cookies.

Wir verwenden keine Werbe- oder Tracking-Cookies. Das auf unserer Marketing-Website eingesetzte Web-Analyse-Tool (Plausible — siehe § 3.6) arbeitet cookie-frei und speichert keinerlei Kennung auf deinem Gerät. Ein Cookie-Consent-Banner ist nicht erforderlich, da wir nur technisch notwendige Speicherung verwenden (ausgenommen nach § 25 Abs. 2 TDDDG).

9. Datenübertragung in Drittländer

Einige unserer Auftragsverarbeiter (Stripe, Resend, Vercel) können Daten in den USA verarbeiten. Diese Übertragungen werden abgesichert durch:
- EU-Standardvertragsklauseln (SCCs)
- Das EU-US Data Privacy Framework (sofern anwendbar)

10. Automatisierte Entscheidungsfindung

Wir verwenden keine automatisierte Entscheidungsfindung oder Profiling im Sinne von Art. 22 DSGVO.

11. Auftragsverarbeitung für Studioinhaber

StudioBook agiert in einer Doppelrolle:

• StudioBook als Verantwortlicher: Für deine StudioBook-Kontodaten (Authentifizierung, Anmeldedaten, SaaS-Abrechnung, Plattformanalysen) ist StudioBook der Verantwortliche gemäß Art. 4 Nr. 7 DSGVO.
• Studioinhaber als Verantwortlicher, StudioBook als Auftragsverarbeiter: Für personenbezogene Daten von Mitgliedern, die über Studio-Buchungsseiten erhoben werden (Buchungshistorie, Anwesenheit, Credits, studiobasierte Kommunikation), ist der Studioinhaber der Verantwortliche und StudioBook handelt als Auftragsverarbeiter gemäß Art. 28 DSGVO.

Mitgliederzahlungen über Stripe Connect fließen direkt auf das Stripe-Konto des Studioinhabers. StudioBook hält oder verarbeitet keine Mitgliederzahlungen.

Unser Auftragsverarbeitungsvertrag ist verfügbar unter Auftragsverarbeitungsvertrag (AVV).

12. Änderungen

Wir können diese Erklärung von Zeit zu Zeit aktualisieren. Wesentliche Änderungen werden den registrierten Nutzern mindestens 14 Tage vor Inkrafttreten per E-Mail mitgeteilt.