Datenschutzerklärung

Mit dieser Erklärung informieren wir Sie darüber, welche personenbezogenen Daten wir verarbeiten, wenn Sie unsere Website und unseren Online-Shop unter sultanhamam.de nutzen, mit uns per E-Mail, WhatsApp oder Instagram kommunizieren, unseren Newsletter beziehen oder uns im Sultan Hamam Berlin besuchen. Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen.

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung ist:

Sultan Hamam GmbH
Bülowstraße 56-57
10783 Berlin
Deutschland
Telefon: 030 / 21 75 33 75
E-Mail: info@sultan-hamam.de

Für alle Fragen zum Datenschutz und zur Ausübung Ihrer Rechte erreichen Sie uns unter dieser Adresse.

2. Grundsätze: Rechtsgrundlagen, Empfänger, Drittländer

2.1 Wir verarbeiten Ihre Daten nur, wenn eine Rechtsgrundlage dies erlaubt. Je nach Vorgang ist das

• Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), etwa für Newsletter, WhatsApp-Nachrichten mit Angeboten, Bewertungseinladungen und für Cookies und Tracking-Dienste; das Speichern von Informationen auf Ihrem Endgerät und der Zugriff darauf erfolgen in diesen Fällen nach § 25 Abs. 1 TDDDG,
• die Erfüllung eines Vertrags mit Ihnen oder die Bearbeitung Ihrer Anfrage vor Vertragsschluss (Art. 6 Abs. 1 lit. b DSGVO), etwa bei Bestellungen, Gutscheinen, Terminanfragen und Terminen,
• eine rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO), etwa steuer- und handelsrechtliche Aufbewahrungspflichten,
• unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO), etwa am sicheren Betrieb der Website, an der Beantwortung von Anfragen, am Schutz vor Missbrauch und an einer geordneten Kundenbetreuung; welches Interesse das jeweils ist, nennen wir beim einzelnen Vorgang,
• für Gesundheitsdaten Ihre ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO) und, soweit erforderlich, die Verteidigung von Rechtsansprüchen (Art. 9 Abs. 2 lit. f DSGVO).

Sie können eine Einwilligung jederzeit für die Zukunft widerrufen. Die Verarbeitung bis zum Widerruf bleibt rechtmäßig.

2.2 Empfänger Ihrer Daten sind, soweit in dieser Erklärung beschrieben, Dienstleister, die für uns arbeiten und an unsere Weisungen gebunden sind (Auftragsverarbeiter nach Art. 28 DSGVO), sowie eigenständige Anbieter wie Zahlungsdienste, Messaging-Dienste und Google, die in eigener Verantwortung handeln. Wir geben Daten nur weiter, wenn es für den jeweiligen Zweck nötig ist.

2.3 Einige Anbieter verarbeiten Daten außerhalb des Europäischen Wirtschaftsraums. Übermittlungen in die USA stützen wir auf Anbieter, die unter dem EU-US Data Privacy Framework zertifiziert sind (Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023), oder auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Für Kanada besteht ein Angemessenheitsbeschluss. Beim jeweiligen Dienst nennen wir die Grundlage.

2.4 Sie müssen uns nur die Daten geben, die wir für eine Bestellung, einen Termin oder die Beantwortung Ihrer Anfrage brauchen. Alle anderen Angaben sind freiwillig. Für Ihren Besuch vor Ort genügt die Nummer Ihres Spinds (Ziffer 13.1). Beim Gutscheinkauf vor Ort brauchen wir Ihre E-Mail-Adresse nur, wenn Sie den Gutschein als PDF per E-Mail erhalten möchten (Ziffer 13.2). Wir treffen keine Entscheidungen, die ausschließlich auf einer automatisierten Verarbeitung beruhen und Ihnen gegenüber rechtliche Wirkung entfalten (Art. 22 DSGVO); das gilt auch für unseren KI-Assistenten (Ziffer 7.2).

3. Besuch der Website und Cookies

3.1 Hosting und Shopsystem (Shopify)

Unsere Website und unser Shop laufen auf der Plattform der Shopify International Limited, Victoria Buildings, 1-2 Haddington Road, Dublin 4, D04 XN32, Irland („Shopify“). Shopify stellt Hosting, Auslieferung der Inhalte, Warenkorb, Kasse, Kundenkonten, Bestellverwaltung und den Versand der Bestell-E-Mails bereit und verarbeitet dabei in unserem Auftrag alle Daten, die Sie auf der Website eingeben, sowie technische Zugriffsdaten.

Bei jedem Aufruf speichert Shopify in Protokolldateien die aufgerufene Seite, Datum und Uhrzeit, die übertragene Datenmenge, die Seite, von der Sie kommen, Browser und Betriebssystem sowie die IP-Adresse Ihres Geräts. Wir nutzen diese Daten, um die Website auszuliefern, ihre Sicherheit und Stabilität zu gewährleisten und Angriffe abzuwehren (Art. 6 Abs. 1 lit. f DSGVO). Shopify stellt uns außerdem Statistiken über Besuche und Bestellungen zur Verfügung (Shopify-Statistiken). Das dafür nötige Analyse-Cookie setzt Shopify nur, wenn Sie im Cookie-Banner in die Kategorie „Analyse“ eingewilligt haben (Ziffer 3.3).

Wir haben mit Shopify einen Vertrag zur Auftragsverarbeitung geschlossen. Shopify verarbeitet Daten auch bei seiner Muttergesellschaft Shopify Inc., 151 O'Connor Street, Ottawa, Ontario K2P 2L8, Kanada, und bei Unterauftragsverarbeitern in den USA. Für Kanada gilt der Angemessenheitsbeschluss der EU-Kommission; für die USA stützt sich Shopify auf die Standardvertragsklauseln. Weitere Informationen: https://www.shopify.com/de/legal/privacy/consumers

Shop-App: Mit der App und dem Konto „Shop“ (einschließlich Shop Pay) bietet Shopify einen eigenen Dienst direkt für Verbraucherinnen und Verbraucher an und verarbeitet die Daten der Shop-Nutzerinnen und -Nutzer in eigener Verantwortung, auch Angaben dazu, wie sie in unserem Shop stöbern. In unserem Shop haben wir die Erinnerungen über Shop eingeschaltet (Shopify-Einstellung „Shop remarketing emails and push notifications“): Erkennt Shop Sie als Nutzerin oder Nutzer der Shop-App, kann Shopify Sie per E-Mail oder Push-Nachricht an Produkte erinnern, die Sie sich bei uns angesehen haben, oder an einen nicht abgeschlossenen Warenkorb. In der Shop-App können Sie sich außerdem benachrichtigen lassen, wenn ein gespeichertes Produkt günstiger oder wieder verfügbar wird. Inhalt und Zeitpunkt dieser Nachrichten legt Shopify fest; welche Produkte Sie in der App speichern, sehen wir nicht. Einzelheiten, auch wie Sie solchen Nachrichten widersprechen, stehen in den oben verlinkten Datenschutzhinweisen von Shopify. Rechtsgrundlage für das Einschalten der Funktion ist unser berechtigtes Interesse, Kaufinteressierte an einen begonnenen Einkauf zu erinnern (Art. 6 Abs. 1 lit. f DSGVO).

3.2 Verschlüsselung

Die Verbindung zu unserer Website ist per TLS verschlüsselt (erkennbar an „https://“ und dem Schloss-Symbol). Ihre Eingaben, insbesondere Bestell- und Zahlungsdaten, werden verschlüsselt übertragen.

3.3 Cookies und Einwilligung

Cookies sind kleine Dateien, die Ihr Browser auf Ihrem Gerät speichert. Ähnliche Techniken (zum Beispiel der lokale Speicher des Browsers oder Pixel) behandeln wir gleich.

Notwendige Cookies setzt Shopify, damit Warenkorb, Kasse, Anmeldung im Kundenkonto, Sicherheitsfunktionen, Sprach- und Länderauswahl und die Speicherung Ihrer Cookie-Entscheidung funktionieren. Dafür ist keine Einwilligung nötig (§ 25 Abs. 2 Nr. 2 TDDDG); soweit dabei personenbezogene Daten anfallen, verarbeiten wir sie zur Bereitstellung des Shops (Art. 6 Abs. 1 lit. b und f DSGVO).

Alle anderen Cookies und Dienste, insbesondere die in Ziffer 11 beschriebenen Analyse- und Marketing-Dienste von Google und Meta sowie die Shopify-Statistiken, setzen wir nur ein, wenn Sie im Cookie-Banner beim ersten Besuch in die jeweilige Kategorie („Analyse“, „Marketing“, „Präferenzen“) eingewilligt haben (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Ohne Ihre Einwilligung werden diese Dienste nicht geladen. Der Banner ist der Cookie-Banner unserer Shop-Plattform Shopify (Ziffer 3.1). Ihre Entscheidung speichert Shopify in einem notwendigen Cookie auf Ihrem Gerät und in unserem Shop-Konto mit einer Kennung (Consent-ID), damit wir die Einwilligung nachweisen können (Art. 7 Abs. 1 DSGVO). Nach zwölf Monaten fragen wir erneut. Sie können Ihre Auswahl jederzeit über „Cookie-Einstellungen“ im Fußbereich der Website ändern oder widerrufen; die Dienste erheben dann keine weiteren Daten. Bereits gesetzte Cookies der Anbieter können Sie in Ihrem Browser löschen.

Für Google-Dienste nutzen wir den Google Consent Mode v2: Unser Shopsystem übermittelt an Google, ob Sie in Analyse-Cookies (Signal analytics_storage) und in Werbe-Cookies sowie die Verwendung Ihrer Daten für Werbung (Signale ad_storage, ad_user_data, ad_personalization) eingewilligt haben. Ohne Einwilligung werden die Google-Dienste nicht geladen und es werden keine Daten an Google gesendet.

Kampagnen- und Klick-Kennungen: Haben Sie im Cookie-Banner in „Marketing“ eingewilligt, liest unser Shop die Kennung eines Anzeigenklicks aus dem Link, über den Sie zu uns gekommen sind (Google: gclid, gbraid oder wbraid; Meta: fbclid), sowie die Kennungen, die Google und Meta zuvor mit Ihrer Einwilligung in Ihrem Browser gespeichert haben (Cookies _gcl_aw, _gcl_gb, _fbc und _fbp). Haben Sie in „Analyse“ eingewilligt, liest er außerdem die Kampagnenangaben aus dem Link (utm-Parameter), den Pfad der Seite, auf der Sie unseren Shop betreten haben, die Adresse der Website, von der Sie gekommen sind (ohne Parameter), und die Kennung von Google Analytics (Cookie _ga). Damit diese Angaben auch bei einem späteren Kauf noch vorliegen, speichert unser Shop sie bis zu 90 Tage im lokalen Speicher Ihres Browsers und legt sie in Ihrem Warenkorb ab. Bestellen Sie, übermittelt Shopify sie zusammen mit Ihrer Einwilligungsentscheidung (Kategorien und Zeitpunkt) mit Ihrer Bestellung an unsere Kundendatenbank (Ziffer 5.1). Wir nutzen sie, um zu erkennen, über welche Anzeige, Kampagne oder Website ein Kauf zustande kam, und um Google und Meta ohne Ihren Namen mitzuteilen, dass aus einem Anzeigenklick ein Kauf und später gegebenenfalls eine Einlösung geworden ist (Ziffern 11.4 und 11.5). Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG); ohne sie liest und speichert unser Shop diese Angaben nicht. Widerrufen Sie Ihre Einwilligung über „Cookie-Einstellungen“, löscht unser Shop die gespeicherten Angaben in Ihrem Browser und in Ihrem Warenkorb. In unserer Kundendatenbank löschen wir die Google-Kennungen 90 Tage nach dem Anzeigenklick, die Meta-Kennungen nach 180 Tagen und die Analytics-Kennung nach 14 Monaten; die übrigen Angaben bewahren wir mit der Kopie Ihrer Bestellung auf (Ziffer 15).

Sie können Cookies auch in Ihrem Browser blockieren oder löschen. Dann sind einzelne Funktionen der Website möglicherweise eingeschränkt.

4. Bestellung, Kundenkonto und Zahlung

4.1 Bestellabwicklung

Wenn Sie im Shop bestellen, erheben wir die Daten, die für die Bestellung nötig sind: Vor- und Nachname, E-Mail-Adresse, Rechnungs- und gegebenenfalls Lieferanschrift, die bestellten Gutscheine und Leistungen, den gewählten Zustellweg, die Zahlungsart und die Bestellnummer. Freiwillig können Sie im Checkout oder auf der Seite nach der Bestellung Ihre Mobilfunknummer angeben; wir nutzen sie, um Sie bei Fragen zu Ihrer Bestellung oder Ihrem Gutschein zu erreichen (Ziffer 5.1). Wir verarbeiten diese Daten, um den Vertrag zu erfüllen, den Gutschein auszustellen und zuzustellen und Ihre Fragen zur Bestellung zu beantworten (Art. 6 Abs. 1 lit. b DSGVO), sowie um unsere steuer- und handelsrechtlichen Pflichten zu erfüllen (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 257 HGB).

Empfänger sind Shopify (Ziffer 3.1), der von Ihnen gewählte Zahlungsdienst (Ziffer 4.3), unser Gutscheinsystem (Ziffer 5) und, wenn Sie eine Gutscheinkarte per Post gewählt haben, der von uns beauftragte Versanddienstleister (Deutsche Post AG, Charles-de-Gaulle-Straße 20, 53113 Bonn), der Name und Lieferanschrift für die Zustellung erhält. Die Karte versenden wir als Einschreiben Einwurf: Die Deutsche Post AG dokumentiert den Einwurf in den Briefkasten (Zustellnachweis) und zeigt Sendungsverlauf und Zustellung in ihrer Sendungsverfolgung zur Sendungsnummer an. Den Zustellnachweis nutzen wir nur, um Fragen zur Zustellung zu klären (Art. 6 Abs. 1 lit. b DSGVO). Ihre E-Mail-Adresse geben wir nicht an den Versanddienstleister weiter; die Sendungsnummer schicken wir Ihnen selbst per E-Mail.

Im Checkout und auf der Seite, die Sie nach der Bestellung sehen (Bestellbestätigungsseite), finden Sie außerdem zwei freiwillige, voneinander unabhängige Häkchen: für unseren E-Mail-Newsletter und für Angebote per WhatsApp. Sie sind keine Voraussetzung für Ihre Bestellung. Ihre Mobilfunknummer geben wir nur dann an unseren Messaging-Dienst weiter, wenn Sie das Häkchen für WhatsApp setzen (Ziffer 9.3). Was mit Ihren Angaben geschieht, wenn Sie ein Häkchen setzen, steht in Ziffer 9.

4.2 Kundenkonto

Sie können bei uns ein Kundenkonto anlegen, um Ihre Bestellungen einzusehen und Ihre Adressdaten zu speichern. Die Anmeldung erfolgt über einen Code, den Shopify an Ihre E-Mail-Adresse sendet. Wir verarbeiten die Kontodaten, solange das Konto besteht (Art. 6 Abs. 1 lit. b DSGVO). Sie können das Konto jederzeit löschen lassen, indem Sie uns eine Nachricht senden; Bestelldaten, die wir aufbewahren müssen, bleiben davon unberührt.

4.3 Zahlungsdienste

Ihre Zahlungsdaten (zum Beispiel Kartennummer, Kontoverbindung oder PayPal-Konto) werden nicht auf unseren Systemen gespeichert, sondern direkt beim Zahlungsdienst eingegeben und dort verarbeitet. Der Zahlungsdienst erhält von uns den Betrag, die Bestellnummer, Ihren Namen und Ihre Kontaktdaten sowie die Information, ob die Zahlung erfolgreich war (Art. 6 Abs. 1 lit. b DSGVO). Die Zahlungsdienste sind für die Verarbeitung Ihrer Zahlungsdaten selbst verantwortlich.

• Shopify Payments wird bereitgestellt von der Shopify International Limited, Victoria Buildings, 1-2 Haddington Road, Dublin 4, Irland. Über Shopify Payments bieten wir die Zahlung per Kredit- und Debitkarte (Visa, Mastercard, American Express, Maestro), Shop Pay, Apple Pay, Google Pay und Klarna an. Die technische Zahlungsabwicklung übernimmt die Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin 2, Irland. Die Datenübermittlung an Konzerngesellschaften in Kanada und den USA erfolgt wie in Ziffer 3.1 beschrieben. Datenschutzhinweise: https://www.shopify.com/de/legal/privacy
• PayPal: PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg. Schon beim Aufruf des Warenkorbs lädt unser Shop die Zahlungsknöpfe von PayPal (Express-Checkout), auch bei leerem Warenkorb und unabhängig von Ihrer Auswahl im Cookie-Banner. Dabei werden technische Daten an PayPal übertragen, insbesondere Ihre IP-Adresse, Angaben zu Browser und Gerät sowie die aufgerufene Seite; dafür kann PayPal Informationen in Ihrem Browser speichern, die für die Bereitstellung der Zahlungsknöpfe unbedingt erforderlich sind (§ 25 Abs. 2 Nr. 2 TDDDG). Zweck ist, Ihnen PayPal direkt im Warenkorb als Zahlungsart anzubieten. Rechtsgrundlage ist unser berechtigtes Interesse an einem schnellen und einfachen Bezahlvorgang (Art. 6 Abs. 1 lit. f DSGVO). Wählen Sie über PayPal eine Zahlungsart, bei der PayPal in Vorleistung geht (zum Beispiel „Später bezahlen“), kann PayPal zur Prüfung des Ausfallrisikos eine Bonitätsauskunft einholen; Rechtsgrundlage ist das berechtigte Interesse von PayPal und von uns an der Vermeidung von Zahlungsausfällen (Art. 6 Abs. 1 lit. f DSGVO). Datenschutzhinweise: https://www.paypal.com/de/legalhub/privacy-full
• Apple Pay (Apple Distribution International Ltd., Hollyhill Industrial Estate, Cork, Irland) und Google Pay (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland): Bei diesen Zahlungsarten wird die Zahlung über die auf Ihrem Gerät hinterlegte Karte ausgelöst. Wir erhalten keine Kartendaten, sondern nur die Bestätigung der Zahlung. Es gelten die Datenschutzhinweise von Apple (https://support.apple.com/de-de/HT203027) und Google (https://payments.google.com/payments/apis-secure/get_legal_document?ldo=0&ldt=privacynotice&ldl=de).
• Shop Pay ist eine Funktion von Shopify, mit der Sie Ihre Zahlungs- und Adressdaten für künftige Einkäufe in einem Shop-Pay-Konto speichern können. Das geschieht nur auf Ihren Wunsch und auf Grundlage Ihrer Einwilligung gegenüber Shopify (Art. 6 Abs. 1 lit. a DSGVO); Verantwortlicher für das Shop-Pay-Konto ist Shopify.
• Klarna: Klarna Bank AB (publ), Sveavägen 46, 111 34 Stockholm, Schweden. Wählen Sie eine Zahlungsart von Klarna, übermittelt Shopify Payments Ihre Bestell- und Kontaktdaten an Klarna, damit Klarna die Zahlung abwickelt (Art. 6 Abs. 1 lit. b DSGVO). Bei Rechnungs- und Ratenkauf geht Klarna in Vorleistung und führt dafür eine Identitäts- und Bonitätsprüfung durch; dabei kann Klarna Auskünfte von Wirtschaftsauskunfteien einholen. Rechtsgrundlage ist die Entscheidung über den Abschluss des Zahlungsvertrags mit Ihnen (Art. 6 Abs. 1 lit. b DSGVO) und das berechtigte Interesse von Klarna und von uns an der Vermeidung von Zahlungsausfällen (Art. 6 Abs. 1 lit. f DSGVO). Klarna ist für diese Verarbeitung selbst verantwortlich. Einzelheiten in der Datenschutzerklärung von Klarna: https://www.klarna.com/de/datenschutz/

5. Gutscheinsystem und Kundendatenbank auf unserem eigenen Server

5.1 Ausstellung und Verwaltung der Gutscheine

Für die Ausstellung, Zustellung und Einlösung unserer Gutscheine und für die Verwaltung unserer Kundenbeziehungen betreiben wir ein eigenes System (Gutscheinregister und Kundendatenbank). Es läuft auf Servern der Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, im Rechenzentrum Falkenstein in Deutschland. Mit Hetzner haben wir einen Vertrag zur Auftragsverarbeitung geschlossen.

Nach jeder Bestellung übermittelt Shopify automatisch die Bestellnummer, die bestellten Gutscheine und Zusatzleistungen, Ihren Namen, Ihre E-Mail-Adresse, sofern angegeben Ihre Mobilfunknummer und Ihre Anschrift und, falls Sie im Checkout ein Häkchen für Newsletter oder WhatsApp gesetzt haben, diese Einwilligung (Ziffer 9) an dieses System. Dort legen wir für jeden Gutschein einen Gutscheincode, das Ausstellungsdatum, das Ablaufdatum, die enthaltenen Leistungen und den Einlösestatus an und ordnen den Gutschein Ihnen als Käuferin oder Käufer zu. Ihre E-Mail-Adresse und, falls angegeben, Ihre Mobilfunknummer stehen als Kontaktangaben auf Ihrer Karteikarte; an unseren Messaging-Dienst geben wir die Nummer nur mit Ihrer Einwilligung in WhatsApp-Nachrichten weiter (Ziffer 9.3). Geben Sie später eine andere Mobilfunknummer an, im Checkout oder auf der Bestellbestätigungsseite, ersetzt sie die bisherige. Zusätzlich bewahren wir die Bestelldaten, so wie Shopify sie übermittelt, als Kopie auf, weil wir sie für Erstattungen und Rückfragen zu Ihrer Bestellung brauchen und weil sie zu unseren Buchungsbelegen gehören (Speicherdauer in Ziffer 15). Diese Kopie enthält auch technische Angaben zur Bestellung, etwa die IP-Adresse und den Browser, mit denen Sie bestellt haben. Vollständige Zahlungsdaten wie Kartennummern oder Kontoverbindungen erhalten wir nicht. Auf der Bestellbestätigungsseite zeigt Ihnen ein Baustein unseres Systems den Link zu Ihrem Gutschein-PDF, ein Feld für Ihre Mobilfunknummer und die Häkchen für Newsletter und WhatsApp. Dafür übermittelt Ihr Browser die Bestellnummer in Shopify und die Bestätigungsnummer Ihrer Bestellung direkt an unser System; tragen Sie dort eine Mobilfunknummer ein oder setzen Sie ein Häkchen, zusätzlich diese Nummer bzw. Ihre Einwilligung und Ihre Sprache. Eine dort eingetragene Nummer speichern wir wie die Nummer aus dem Checkout als Kontaktangabe auf Ihrer Karteikarte. Das Feld ist mit der Mobilfunknummer aus Ihrer Bestellung vorbelegt; dafür schickt unser System diese Nummer an Ihren Browser zurück. Die Bestätigungsnummer nutzen wir nur, um zu prüfen, dass die Anfrage zu Ihrer Bestellung gehört. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Einwilligungen Art. 6 Abs. 1 lit. a DSGVO.

Zwecke und Rechtsgrundlagen: Erfüllung des Vertrags, insbesondere Ausstellung, Prüfung und Entwertung des Gutscheins sowie Rückfragen zu Ihrer Bestellung oder Ihrem Gutschein über die angegebene E-Mail-Adresse oder Mobilfunknummer (Art. 6 Abs. 1 lit. b DSGVO); Erfüllung steuer- und handelsrechtlicher Aufzeichnungs- und Aufbewahrungspflichten, weil Gutscheinausgabe und Einlösung buchungsrelevante Vorgänge sind (Art. 6 Abs. 1 lit. c DSGVO, § 147 AO, § 257 HGB, Grundsätze ordnungsmäßiger Buchführung); Schutz vor Missbrauch und Mehrfacheinlösung sowie eine geordnete Kundenbetreuung mit einer Übersicht über Ihre Käufe, Anfragen und Besuche (Art. 6 Abs. 1 lit. f DSGVO).

Auswertung nach Werbekanal: Zu jeder Bestellung speichern wir außerdem, über welche Seite Sie in unseren Shop gekommen sind und, soweit im Link enthalten, aus welcher Kampagne (Angaben, die Shopify mit der Bestellung übermittelt). Wir werten Käufe, Einlösungen und Besuche zusammengefasst aus, zum Beispiel wie viele Gutscheine aus einem Werbekanal eingelöst werden und wie lange das dauert. Diese Auswertungen enthalten keine Namen. Rechtsgrundlage ist unser berechtigtes Interesse, unsere Werbung und unser Angebot zu verbessern (Art. 6 Abs. 1 lit. f DSGVO); Sie können widersprechen (Ziffer 14).

Sicherheit: Die Datenbank ist nicht aus dem Internet erreichbar, sondern nur über ein internes Netz von unserem Anwendungsserver aus. Unsere Mitarbeitenden melden sich mit einem eigenen Konto oder mit dem Konto ihres Arbeitsplatzes an; vollständige Karteikarten sieht nur die Leitung. Zugriffe auf Kundendaten werden protokolliert (Ziffer 5.4). Sicherungskopien der Datenbank und unseres Automatisierungssystems (Ziffer 6.3) erstellen wir täglich und verschlüsselt. Wir speichern sie bei der IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, in einem Rechenzentrum in Berlin. Den Schlüssel zum Entschlüsseln haben nur wir, IONOS hat ihn nicht. Mit IONOS haben wir einen Vertrag zur Auftragsverarbeitung geschlossen. Sicherungskopien bewahren wir höchstens zwölf Monate auf. Bis dahin können Daten, die wir gelöscht haben, noch in älteren Sicherungskopien enthalten sein; dort nutzen wir sie nicht. Müssen wir die Datenbank einmal aus einer Sicherungskopie wiederherstellen, führen wir alle Löschungen, die nach dem Zeitpunkt dieser Sicherung erfolgt sind, erneut aus.

5.2 Zustellung des Gutscheins per E-Mail

Haben Sie die Zustellung als PDF gewählt, erzeugt unser System nach Zahlungseingang das Gutschein-PDF und sendet es Ihnen per E-Mail. Der Versand läuft über ein E-Mail-Postfach bei ALL-INKL.COM, Neue Medien Münnich, Inhaber René Münnich, Hauptstraße 68, 02742 Friedersdorf, Deutschland. Eine Kopie jeder Gutschein-E-Mail wird in diesem Postfach abgelegt, damit wir bei Rückfragen nachvollziehen können, was versendet wurde. Die E-Mail enthält einen 30 Tage gültigen Link zum Herunterladen des Gutscheins; beim Abruf werden auf unserem Server die üblichen Zugriffsdaten (Zeitpunkt, IP-Adresse, Browser) protokolliert. Denselben Link zeigen wir Ihnen auch auf der Bestellbestätigungsseite. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

5.3 Einlösung vor Ort per QR-Code

Bei der Einlösung im Sultan Hamam Berlin scannen wir den QR-Code des Gutscheins mit einem unserer Geräte oder geben den Gutscheincode ein. Das System speichert den Zeitpunkt der Einlösung, das verwendete Gerät und den neuen Status des Gutscheins; auch fehlgeschlagene Prüfungen werden protokolliert. Diese Einträge werden nachträglich nicht verändert, weil sie steuerlich relevante Aufzeichnungen sind (Art. 6 Abs. 1 lit. b und c DSGVO). Checken wir Sie bei Ihrem Besuch ein, verknüpfen wir die Einlösung mit diesem Besuch (Ziffer 13.1). Nennen Sie uns bei der Einlösung Ihren Namen oder tragen Sie sich auf dem iPad am Empfang ein, vermerken wir die Einlösung als Besuch auf Ihrer Karteikarte, auch ohne Check-in (Art. 6 Abs. 1 lit. f DSGVO); Sie können dem widersprechen (Ziffer 14). Haben Sie den Gutschein geschenkt bekommen, erfährt die Person, die ihn gekauft hat, Ihren Namen nicht; bei ihr vermerken wir nur, dass und wann der Gutschein eingelöst wurde.

5.4 Zugriffsprotokolle

Damit wir nachvollziehen können, wer wann auf Kundendaten zugegriffen hat, protokolliert unser System unter anderem jedes Öffnen eines Besuchs oder eines Vorgangs, jede Suche nach Kundinnen und Kunden am Empfang, jeden Vorgang auf dem iPad am Empfang und jede Prüfung eines Gutscheins. Gespeichert werden das Konto, das Gerät, der Zeitpunkt, die Art des Zugriffs und die Kennung des betroffenen Datensatzes. Suchbegriffe, Namen, Kontaktdaten und IP-Adressen stehen nicht im Protokoll. Die Einträge lassen sich nachträglich nicht ändern. Für unser Team sind die Protokolle nicht sichtbar; wir werten sie nur aus besonderem Anlass aus, etwa bei einem Verdacht auf unberechtigte Zugriffe oder um eine Auskunftsanfrage zu beantworten. Rechtsgrundlage ist unsere Pflicht, Ihre Daten angemessen zu schützen, und unser berechtigtes Interesse, Missbrauch zu erkennen und aufzuklären (Art. 6 Abs. 1 lit. c und f DSGVO in Verbindung mit Art. 32 DSGVO). Wir löschen die Einträge drei Jahre nach ihrer Entstehung, weil sich ein Missbrauch oft erst später zeigt und Ansprüche daraus innerhalb dieser Zeit geltend gemacht werden können (Ziffer 15).

5.5 Löschung Ihrer Karteikarte

Bitten Sie uns, Ihre Daten zu löschen, oder ist die Speicherdauer nach Ziffer 15 abgelaufen, löschen wir Ihre Karteikarte in unserer Kundendatenbank. In der folgenden Nacht entfernt unser System Ihren Namen, Ihre E-Mail-Adresse, Ihre Telefon- und WhatsApp-Nummer, Ihr Geburtsdatum, die Kennungen, unter denen Sie bei Shopify, Klaviyo, Superchat und in unserer Terminsoftware geführt werden, sowie Ihre Einwilligungen. Übrig bleibt eine leere Karteikarte ohne Namen und Kontaktdaten, die nur belegt, dass und wann wir gelöscht haben.

Newsletter und WhatsApp: Vor dem Leeren melden wir Sie bei Klaviyo vom Newsletter ab und löschen Ihr Profil dort. Bei Superchat nehmen wir Ihre Nummer aus unseren WhatsApp-Listen, sodass Sie keine Angebote mehr erhalten. Ihren Chatverlauf mit uns bewahren wir dort weiter auf, soweit er Geschäftskorrespondenz ist, die wir aufbewahren müssen (Ziffer 7.1). Gelingt die Abmeldung nicht sofort, wiederholen wir sie in den folgenden Nächten und leeren Ihre Karteikarte erst danach; ist sie nach drei Tagen noch nicht gelungen, leeren wir die Karteikarte trotzdem und erledigen die Abmeldung von Hand.

Steuerlich relevante Angaben: Was wir aus steuerlichen Gründen aufbewahren müssen, bleibt erhalten, aber getrennt von Ihrer Karteikarte, also ohne Ihren Namen und Ihre Kontaktdaten: Vorgangsnummern, gekaufte und bestellte Leistungen, Preise, Beträge und Zeitpunkte Ihrer Käufe und Besuche sowie Gutscheincodes mit Inhalt, Ablaufdatum und Einlösestatus (Art. 17 Abs. 3 lit. b DSGVO, § 147 AO). Gutscheine bleiben gültig und einlösbar.

Bestellungen in unserem Online-Shop sind Buchungsbelege. Sie bleiben mit Ihrem Namen und Ihren Kontaktdaten bei Shopify und als Kopie in unserem System (Ziffer 5.1) bis zum Ende der Aufbewahrungsfrist gespeichert; wir nutzen sie dann nur noch, um diese Pflicht zu erfüllen.

Nachweis Ihrer Einwilligungen: Hatten Sie in Newsletter oder WhatsApp-Nachrichten eingewilligt, bewahren wir nach der Löschung noch einen Nachweis auf: den Kanal, den Zeitpunkt der Einwilligung und gegebenenfalls des Widerrufs und der Löschung, die Herkunft und die Fassung des Einwilligungstextes. Ihre E-Mail-Adresse oder Nummer steht darin nicht im Klartext, sondern nur als Prüfwert, aus dem sie sich nicht zurücklesen lässt; finden können wir den Nachweis nur, wenn uns jemand die Adresse oder Nummer nennt. Wir nutzen ihn ausschließlich, um uns gegen den Vorwurf unerwünschter Werbung zu verteidigen, und löschen ihn am Ende des dritten Jahres nach dem Jahr der Löschung (Art. 17 Abs. 3 lit. e DSGVO, §§ 195, 199 BGB).

Weitere Systeme: Ihr Kundenkonto bei Shopify (Ziffer 4.2) und Ihre Daten in unserer Terminsoftware (Ziffer 8) löschen wir auf Ihren Wunsch ebenfalls, soweit keine Aufbewahrungspflicht besteht. Haben Sie sich über unser Terminanfrage-Formular für Newsletter oder WhatsApp angemeldet, löschen wir diese Anmeldung bei Klaviyo bzw. Superchat auf Ihren Wunsch auf dieselbe Weise. Aus unseren Sicherungskopien verschwinden gelöschte Daten mit deren Ablauf (Ziffer 5.1).

6. Terminanfrage, Kontakt und Formulare

6.1 Terminanfrage-Formular

Über das Formular „Termin anfragen“ auf unserer Website erheben wir den Anlass Ihres Besuchs, die gewünschte Leistung, Wunschdatum und Uhrzeit, die Personenzahl, Ihren Vor- und Nachnamen, Ihre E-Mail-Adresse, Ihre Telefonnummer und eine optionale Anmerkung. Die Anfrage wird uns über Shopify per E-Mail zugestellt. Parallel übermittelt die Website die Anfrage an unser eigenes Automatisierungssystem (Ziffer 6.3), das sie als E-Mail an unser Terminpostfach weiterleitet; dieses Postfach bearbeiten wir in Superchat (Ziffer 7.1). Wir verarbeiten diese Daten, um Ihre Anfrage zu beantworten und den Termin zu vereinbaren (Art. 6 Abs. 1 lit. b DSGVO). Den vereinbarten Termin tragen wir in unsere Terminverwaltung ein (Ziffer 8).

Im Formular können Sie zwei freiwillige, voneinander unabhängige Einwilligungen erteilen: für unseren E-Mail-Newsletter und für Angebote per WhatsApp. Nur wenn Sie das jeweilige Häkchen setzen, geben wir Ihre Kontaktdaten an unseren Newsletter-Dienst (Ziffer 9.2) bzw. an unseren Messaging-Dienst (Ziffer 7.1) weiter. Ohne Häkchen findet keine Weitergabe zu Werbezwecken statt. Einzelheiten in Ziffer 9.

Bis zu ihrer Schließung im Oktober 2026 nahmen auch unsere früheren Terminanfrage-Formulare beim Dienst Tally (Tally B.V., August Van Lokerenstraat 71, 9050 Gentbrugge, Belgien) Anfragen sowie Anmeldungen für Newsletter und WhatsApp entgegen. Tally speichert diese Angaben in unserem Auftrag. Anmeldungen daraus hat unser Automatisierungssystem (Ziffer 6.3) wie in Ziffer 9 beschrieben an Klaviyo bzw. Superchat weitergegeben, jeweils mit Bestätigungsanfrage.

6.2 Kontakt per E-Mail

Wenn Sie uns eine E-Mail schreiben, verarbeiten wir Ihre Absenderadresse, den Inhalt der Nachricht und die von Ihnen mitgeteilten Daten, um Ihr Anliegen zu bearbeiten (Art. 6 Abs. 1 lit. b DSGVO bei vertraglichem Bezug, sonst Art. 6 Abs. 1 lit. f DSGVO aufgrund unseres Interesses an der Beantwortung von Anfragen). Wir löschen die Korrespondenz, wenn das Anliegen erledigt ist und keine Aufbewahrungspflicht besteht.

6.3 Automatisierungssystem (n8n, selbst betrieben)

Zur Verbindung unserer Systeme betreiben wir auf unserem eigenen Server (Ziffer 5.1) die Software n8n. Sie nimmt Terminanfragen von der Website entgegen, prüft sie auf Vollständigkeit, leitet sie über unser E-Mail-Postfach bei ALL-INKL.COM (Ziffer 5.2) an unser Terminpostfach weiter und gibt Kontaktdaten nur dann an den Newsletter-Dienst oder den Messaging-Dienst weiter, wenn Sie die jeweilige Einwilligung erteilt haben. Die Software läuft ausschließlich auf unserer Infrastruktur; an den Hersteller der Software werden keine Daten übermittelt. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (Bearbeitung Ihrer Anfrage) und Art. 6 Abs. 1 lit. a DSGVO (Weitergabe aufgrund Ihrer Einwilligung).

6.4 Schutz vor Spam (hCaptcha)

Um automatisierte Eingaben in unsere Formulare zu verhindern, nutzt unser Shopsystem auf Formularen und bei der Anmeldung im Kundenkonto den Dienst hCaptcha der Intuition Machines, Inc., USA. Der Dienst prüft, ob eine Eingabe von einem Menschen stammt, und verarbeitet dafür die IP-Adresse, Angaben zu Browser und Gerät sowie das Verhalten auf der Formularseite; dafür kann er Informationen in Ihrem Browser speichern, die für die Prüfung unbedingt erforderlich sind (§ 25 Abs. 2 Nr. 2 TDDDG). Rechtsgrundlage ist unser berechtigtes Interesse am Schutz der Website vor Missbrauch und Spam (Art. 6 Abs. 1 lit. f DSGVO). Die Daten können in die USA übermittelt werden; die Übermittlung erfolgt auf Grundlage der EU-Standardvertragsklauseln oder einer Zertifizierung des Anbieters nach dem EU-US Data Privacy Framework. Datenschutzhinweise: https://www.hcaptcha.com/privacy

7. Nachrichten per WhatsApp und Instagram, KI-Assistent

7.1 Messaging-Plattform Superchat

Nachrichten, die Sie uns per WhatsApp oder als Instagram-Direktnachricht senden, empfangen und beantworten wir über die Messaging-Plattform Superchat der SuperX GmbH, Prenzlauer Allee 242-247, Haus 7, 10405 Berlin. Dort werden Ihre Telefonnummer bzw. Ihr Instagram-Name, Ihr Name, soweit Sie ihn angeben, der Inhalt Ihrer Nachrichten sowie Zeitpunkt und Verlauf der Unterhaltung gespeichert. Auch E-Mails an unser Terminpostfach, darunter Ihre Terminanfragen (Ziffer 6.1), bearbeitet unser Team in Superchat; dort liegen dann auch Ihre E-Mail-Adresse und der Inhalt Ihrer Anfrage. Der KI-Assistent (Ziffer 7.2) beantwortet diese E-Mails nicht. Wir verarbeiten diese Daten, um Ihre Anfrage zu beantworten, Termine zu vereinbaren und Gutscheinfragen zu klären (Art. 6 Abs. 1 lit. b DSGVO), im Übrigen aufgrund unseres Interesses an einer schnellen und effizienten Kommunikation (Art. 6 Abs. 1 lit. f DSGVO). Mit SuperX haben wir einen Vertrag zur Auftragsverarbeitung geschlossen. Chatverläufe, die eine Buchung, einen Kauf, einen Gutschein oder eine Reklamation betreffen, sind Geschäftskorrespondenz; wir bewahren sie sechs Jahre nach Ende des Jahres des letzten Kontakts auf (§ 257 HGB, § 147 AO, Art. 6 Abs. 1 lit. c DSGVO). Andere Chatverläufe löschen wir zwölf Monate nach dem letzten Kontakt. Erteilen Sie uns vor Ort oder in unserem Online-Shop eine Einwilligung in WhatsApp-Nachrichten, übermitteln wir Ihren Vornamen, Ihre Mobilfunknummer und Ihre Sprache aus unserer Kundendatenbank (Ziffer 5) an Superchat (Ziffern 9.3 und 9.4). Chatverläufe speichern wir nicht in unserer Kundendatenbank.

7.2 KI-Assistent

Neue Unterhaltungen werden zunächst von einem KI-Assistenten beantwortet, der innerhalb von Superchat läuft. Darauf weisen wir Sie zu Beginn der Unterhaltung hin. Der Assistent ordnet Ihr Anliegen ein, beantwortet allgemeine Fragen, zum Beispiel zu Öffnungszeiten, Preisen und Angeboten, und nimmt Terminwünsche auf. Dafür verarbeitet er den Inhalt Ihrer Nachrichten. Verbindliche Terminbestätigungen und alle Anliegen, die der Assistent nicht klären kann, bearbeitet unser Team persönlich. Der Assistent trifft keine Entscheidungen mit rechtlicher Wirkung für Sie. Superchat setzt für den Assistenten KI-Modelle von Drittanbietern ein, mit denen Superchat Verträge zur Auftragsverarbeitung geschlossen hat. Rechtsgrundlagen sind dieselben wie in Ziffer 7.1.

7.3 WhatsApp Business Platform

Für WhatsApp nutzen wir die WhatsApp Business Platform der Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland („Meta“), die über Superchat angebunden ist. Ein Mobiltelefon mit Adressbuch setzen wir dafür nicht ein; Ihre Nummer wird nur verarbeitet, wenn Sie uns schreiben oder in WhatsApp-Nachrichten eingewilligt haben. Meta erhält beim Nachrichtenversand Ihre Telefonnummer, Zeitpunkt und technische Daten der Nachricht und leitet die Nachrichten über seine Server weiter. Dabei können Daten an die Meta Platforms Inc. in den USA übermittelt werden; Meta ist unter dem EU-US Data Privacy Framework zertifiziert. Wie WhatsApp Ihre Daten als Nutzerin oder Nutzer der App verarbeitet, beschreibt WhatsApp unter https://www.whatsapp.com/legal/privacy-policy-eea

7.4 Instagram-Direktnachrichten

Direktnachrichten an unser Instagram-Profil werden über die Schnittstelle von Instagram (Meta Platforms Ireland Limited, Anschrift wie oben) an Superchat übergeben. Meta verarbeitet Ihre Nachrichten zusätzlich in eigener Verantwortung nach seinen Datenschutzhinweisen: https://privacycenter.instagram.com/policy

8. Terminverwaltung

Vereinbarte Termine verwalten wir in der Terminsoftware Booker der Mindbody, Inc., 651 Tank Farm Road, San Luis Obispo, CA 93401, USA. In der Terminsoftware speichern wir Ihren Namen, Ihre Telefonnummer, Ihre E-Mail-Adresse sowie Leistung, Datum und Dauer Ihrer Termine (Art. 6 Abs. 1 lit. b DSGVO). Gesundheitsangaben vermerken wir dort nicht. Zwischen unserer Website und der Terminsoftware gibt es keine automatische Verbindung; Termine trägt unser Team ein. Mindbody verarbeitet die Daten in unserem Auftrag. Die Übermittlung in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln oder einer Zertifizierung des Anbieters nach dem EU-US Data Privacy Framework.

Wir behalten uns vor, Name, Kontaktdaten und Terminhistorie aus der Terminsoftware in unsere Kundendatenbank (Ziffer 5) zu übernehmen, damit wir Ihre Besuche an einer Stelle nachvollziehen können (Art. 6 Abs. 1 lit. f DSGVO, Interesse an einer geordneten Kundenbetreuung). Werbung erhalten Sie deswegen nicht; dafür brauchen wir in jedem Fall Ihre Einwilligung (Ziffer 9).

9. Newsletter, Angebote per WhatsApp und Ihre Einwilligungen

9.1 E-Mail-Newsletter

Mit unserem Newsletter informieren wir Sie über Angebote, neue Pakete, Aktionen und Neuigkeiten aus dem Sultan Hamam Berlin. Sie können sich auf drei Wegen anmelden: über das Häkchen im Terminanfrage-Formular, über das Häkchen an der Kasse oder auf der Bestellbestätigungsseite unseres Online-Shops oder vor Ort im Sultan Hamam Berlin (Ziffer 9.4). Pflichtangabe ist Ihre E-Mail-Adresse; Ihr Name ist freiwillig und dient der persönlichen Ansprache. Nach der Anmeldung erhalten Sie von unserem Newsletter-Dienst Klaviyo (Ziffer 9.2) eine E-Mail mit einem Bestätigungslink. Erst wenn Sie diesen Link anklicken, ist die Anmeldung abgeschlossen (Double-Opt-in). Bis dahin nutzen wir Ihre Adresse nur für diese Bestätigungsmail. Bestätigen Sie nicht, löschen wir die unbestätigte Anmeldung auf Ihren Wunsch sofort; im Übrigen überprüfen wir unbestätigte Anmeldungen regelmäßig und löschen sie, sobald wir sie nicht mehr zum Nachweis des Anmeldevorgangs benötigen. Wir speichern den Zeitpunkt der Anmeldung und der Bestätigung sowie die dabei verwendete IP-Adresse, um die Einwilligung nachweisen zu können.

Anmeldung im Online-Shop: Setzen Sie im Checkout das Häkchen für Neuigkeiten und Angebote per E-Mail, speichert Shopify Ihre Einwilligung bei Ihren Kundendaten und übermittelt sie mit Ihrer Bestellung an unsere Kundendatenbank (Ziffer 5.1). Setzen Sie das Häkchen auf der Bestellbestätigungsseite, geht Ihre Einwilligung direkt an unsere Kundendatenbank; sie gilt der E-Mail-Adresse Ihrer Bestellung. Von dort geben wir Ihre Anmeldung an Klaviyo weiter, das Ihnen die Bestätigungsmail schickt. Brechen Sie die Bestellung ab, geben wir nichts weiter. Shopify selbst versendet für uns keine Newsletter.

Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sie können den Newsletter jederzeit über den Abmeldelink in jeder E-Mail oder durch eine Nachricht an uns abbestellen. Nach der Abmeldung senden wir Ihnen keine Newsletter mehr.

9.2 Versanddienstleister

Für den Versand der Newsletter und die Verwaltung der Anmeldungen nutzen wir Klaviyo, einen Dienst der Klaviyo, Inc., 125 Summer Street, Boston, MA 02110, USA. Klaviyo verarbeitet Ihre E-Mail-Adresse, Ihren Namen, soweit Sie ihn angegeben haben, die Anmeldedaten und Ihre Reaktionen auf unsere E-Mails in unserem Auftrag; wir haben mit Klaviyo einen Vertrag zur Auftragsverarbeitung geschlossen. Klaviyo ist unter dem EU-US Data Privacy Framework zertifiziert. Bei einer Anmeldung vor Ort oder im Online-Shop (Ziffern 9.1 und 9.4) übermitteln wir an Klaviyo nur Ihre E-Mail-Adresse, Ihre Sprache, Herkunft und Zeitpunkt Ihrer Anmeldung und die Fassung des Einwilligungstextes, keinen Namen und keine Telefonnummer.

Erfolgsmessung: Klaviyo misst bei unseren Newslettern, ob eine E-Mail geöffnet und welche Links darin angeklickt wurden. Dafür enthält jede E-Mail eine kleine, unsichtbare Grafik, die beim Öffnen von den Servern von Klaviyo geladen wird, und die Links führen zunächst über eine Adresse von Klaviyo. Dabei verarbeitet Klaviyo Ihre IP-Adresse und Angaben zu Ihrem E-Mail-Programm und Gerät und speichert Zeitpunkt und Art der Reaktion in Ihrem Profil. Wir nutzen diese Auswertung, um unsere Newsletter zu verbessern. Rechtsgrundlage ist unser berechtigtes Interesse an einem wirksamen Newsletter (Art. 6 Abs. 1 lit. f DSGVO). Sie können der Messung jederzeit widersprechen (Ziffer 14). Die Öffnungsmessung verhindern Sie selbst, indem Sie in Ihrem E-Mail-Programm Bilder nicht automatisch laden lassen; die Klickmessung entfällt, wenn Sie die Links nicht anklicken. Möchten Sie gar keine Messung, können Sie den Newsletter jederzeit abbestellen.

9.3 Angebote per WhatsApp

Wenn Sie in Nachrichten mit Angeboten per WhatsApp einwilligen (Häkchen im Terminanfrage-Formular, Häkchen an der Kasse oder auf der Bestellbestätigungsseite unseres Online-Shops oder Einwilligung vor Ort), übermitteln wir Ihre Mobilfunknummer an Superchat (Ziffer 7.1), vermerken sie dort als noch unbestätigte Anmeldung und senden Ihnen zuerst eine Bestätigungsfrage per WhatsApp. Im Online-Shop nutzen wir dafür die Mobilfunknummer, die Sie im Checkout oder auf der Bestellbestätigungsseite angegeben haben; an Superchat geben wir sie erst mit diesem Häkchen weiter. Ändert sich später Ihre Mobilfunknummer, bleibt die Anmeldung bei der Nummer, für die Sie eingewilligt haben. Erst wenn Sie mit „Ja, anmelden“ antworten, nehmen wir Ihre Nummer in unsere Versandliste auf und senden Ihnen gelegentlich Nachrichten zu Angeboten, kurzfristig freien Terminen und Neuigkeiten. Antworten Sie nicht oder mit „Nein, danke“, erhalten Sie keine Angebote; mit „Nein, danke“ streichen wir zugleich die unbestätigte Anmeldung. Bleibt eine Antwort aus, erinnern wir Sie höchstens einmal. Die unbestätigte Anmeldung streichen wir auf Ihren Wunsch sofort; im Übrigen überprüfen wir unbestätigte Anmeldungen regelmäßig und streichen sie, sobald wir sie nicht mehr zum Nachweis des Anmeldevorgangs benötigen. Ihre Antwort bleibt in unserem Chatverlauf gespeichert und dient als Nachweis Ihrer Einwilligung. Sie können sich auch direkt anmelden, indem Sie uns „Anmelden“ per WhatsApp schreiben; dann sind Sie sofort in der Versandliste. Superchat erhält Ihre Mobilfunknummer und Ihren Namen, soweit Sie ihn angegeben haben; bei einer Anmeldung vor Ort oder im Online-Shop nur Ihren Vornamen und Ihre Sprache. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sie können sich jederzeit abmelden, indem Sie uns „Abmelden“ per WhatsApp senden oder uns eine Nachricht schicken; danach erhalten Sie keine Angebote mehr. Für den Versand gelten die Hinweise zur WhatsApp Business Platform in Ziffer 7.3.

9.4 Einwilligung vor Ort, Nachweis und Widerruf

Auch im Sultan Hamam Berlin können Sie sich für Newsletter und WhatsApp-Nachrichten anmelden: auf dem iPad am Empfang (Ziffer 13), zum Beispiel bei Ihrem Check-in oder bei einem Kauf. Auf dem iPad setzen Sie die Häkchen selbst; keines ist vorausgewählt. Beide Einwilligungen sind freiwillig, unabhängig voneinander und keine Voraussetzung für Ihren Besuch oder Ihren Kauf. Unsere Mitarbeitenden setzen keine Einwilligung für Sie. Nach Ihrem Häkchen übermitteln wir Ihre Anmeldung an Klaviyo (Ziffer 9.2) bzw. Superchat (Ziffer 9.3); Sie erhalten dann zuerst die Bestätigungsmail bzw. die Bestätigungsfrage per WhatsApp und sind erst angemeldet, wenn Sie bestätigen.

Papierformulare: Früher konnten Sie sich vor Ort auch auf einem Papierformular anmelden. Diese Formulare geben wir nicht mehr aus. Ausgefüllte Formulare haben wir eingescannt. Die Scans liegen geschützt in unserer Kundendatenbank (Ziffer 5) und belegen Ihre Einwilligung (Art. 7 Abs. 1 DSGVO). Um die Handschrift zu lesen, lassen wir die Scans in unserem Auftrag mit dem KI-Dienst Claude der Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Irland, auswerten; jede Angabe vergleicht unser Team mit dem Scan und bestätigt sie. Mit Anthropic haben wir einen Vertrag zur Auftragsverarbeitung geschlossen (Data Processing Addendum als Teil der Commercial Terms). Dabei können Daten in die USA übermittelt werden; Grundlage sind die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Rechtsgrundlage ist unser berechtigtes Interesse, Ihre Einwilligung nachweisen und Ihre Anmeldung ohne Abschreibfehler übertragen zu können (Art. 6 Abs. 1 lit. f DSGVO). Die Anmeldungen aus den Formularen übertragen wir an Klaviyo bzw. Superchat; auch dann erhalten Sie zuerst eine Bestätigungsanfrage und sind erst nach Ihrer Bestätigung angemeldet. Die Formulare bewahren wir verschlossen auf (Speicherdauer in Ziffer 15).

Geburtsdatum: Haben Sie auf einem Papierformular Ihr Geburtsdatum angegeben, übernehmen wir es auf Ihre Karteikarte in unserer Kundendatenbank (Ziffer 5), wenn es gut lesbar ist. Die Angabe war freiwillig. Wir nutzen Ihr Geburtsdatum nur, um Ihnen über die Kanäle, in die Sie eingewilligt haben, zum Geburtstag zu gratulieren, gegebenenfalls mit einem Angebot. An Klaviyo und Superchat geben wir es nicht weiter. Rechtsgrundlage ist Ihre Einwilligung auf dem Formular (Art. 6 Abs. 1 lit. a DSGVO). Wir speichern das Geburtsdatum, solange Ihre Karteikarte besteht, und entfernen es bei deren Löschung (Ziffern 5.5 und 15); auf Ihren Wunsch löschen wir es jederzeit.

Nachweis: Zu jeder Einwilligung, die Sie vor Ort oder in unserem Online-Shop erteilen, speichern wir in unserer Kundendatenbank (Ziffer 5) den Zeitpunkt, den Kanal (E-Mail oder WhatsApp), die Herkunft (iPad am Empfang mit Bezeichnung des Geräts, oder Checkout bzw. Bestellbestätigungsseite mit Bestellnummer) und die Fassung des Einwilligungstextes, den Sie gesehen haben (Art. 7 Abs. 1 DSGVO).

Widerruf: Melden Sie sich über den Link in einer E-Mail oder mit „Abmelden“ per WhatsApp ab, wirkt das sofort bei Klaviyo bzw. Superchat. Widerrufen Sie uns gegenüber, zum Beispiel per E-Mail oder vor Ort, tragen wir den Widerruf in unserer Kundendatenbank ein und melden Sie bei Klaviyo bzw. Superchat ab; bei Superchat nehmen wir Ihre Nummer dabei aus der Versandliste und aus der Liste der unbestätigten Anmeldungen. Ändert sich Ihre E-Mail-Adresse oder die Nummer, für die Ihre WhatsApp-Einwilligung gilt, melden wir die alte ab; die neue erhält zuerst eine neue Bestätigungsanfrage.

10. Bewertungen (Trustpilot)

Wir sammeln Kundenbewertungen über die Plattform Trustpilot der Trustpilot A/S, Pilestræde 58, 1112 Kopenhagen, Dänemark.

Bewertungseinladung: Wenn Sie nach einer Bestellung eingewilligt haben, übermitteln wir Ihren Namen, Ihre E-Mail-Adresse und die Bestellnummer an Trustpilot, damit Trustpilot Ihnen in unserem Auftrag eine E-Mail mit der Bitte um eine Bewertung sendet. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit uns oder Trustpilot gegenüber widerrufen können. Ohne Einwilligung erhalten Sie keine Einladung.

Abgegebene Bewertungen verarbeitet Trustpilot in eigener Verantwortung nach seinen Datenschutzhinweisen: https://de.legal.trustpilot.com/for-reviewers/end-user-privacy-terms

11. Analyse und Werbung mit Google-Diensten

11.1 Gemeinsame Hinweise

Die in diesem Abschnitt beschriebenen Dienste stammen von der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google“). Wir setzen sie nur ein, wenn Sie im Cookie-Banner in die jeweilige Kategorie eingewilligt haben (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Ohne Einwilligung werden die Dienste nicht geladen; Google erhält dann keine Daten von unserer Website. Ihre Einwilligung können Sie jederzeit über „Cookie-Einstellungen“ im Fußbereich widerrufen.

Google kann Daten an die Google LLC in den USA übermitteln. Google ist unter dem EU-US Data Privacy Framework zertifiziert; ergänzend gelten die Standardvertragsklauseln. Mit Google haben wir für Google Analytics und Google Ads die von Google bereitgestellten Datenverarbeitungsbedingungen abgeschlossen. Wie Google Daten von Partner-Websites verwendet, beschreibt Google unter https://policies.google.com/technologies/partner-sites und in seiner Datenschutzerklärung https://policies.google.com/privacy?hl=de

11.2 Einbindung über Shopify

Google Analytics und Google Ads sind über die Shopify-App „Google & YouTube“ an unseren Shop angebunden. Die App lädt die Google-Dienste erst nach Ihrer Einwilligung und übergibt Ihre Auswahl aus dem Cookie-Banner als Einwilligungssignale an Google (Ziffer 3.3). Einen Google Tag Manager setzen wir nicht ein.

11.3 Google Analytics 4

Google Analytics 4 hilft uns zu verstehen, wie Besucherinnen und Besucher unsere Website nutzen: welche Seiten aufgerufen werden, wie lange, von welchem Gerät und aus welcher Region, und wie oft ein Besuch zu einer Bestellung führt. Dafür setzt Google Cookies, erzeugt eine zufällige Nutzerkennung und erhebt Angaben zu Gerät, Browser, ungefährem Standort (aus der IP-Adresse, die Google vor der Speicherung kürzt) und zu Ihren Aktionen auf der Website. Google verarbeitet diese Daten in unserem Auftrag und erstellt daraus Berichte für uns. Personenbezogene Berichte erhalten wir nicht. Die Nutzerdaten in Google Analytics werden nach 14 Monaten automatisch gelöscht. Die Funktion Google Signals (geräteübergreifende Auswertung über Ihr Google-Konto) ist nicht aktiviert. Die Einwilligung erteilen Sie im Cookie-Banner in der Kategorie „Analyse“.

11.4 Google Ads: Conversion-Tracking und Remarketing

Wir schalten Anzeigen über Google Ads. Um zu messen, ob eine Anzeige zu einem Besuch oder einer Bestellung geführt hat (Conversion-Tracking), setzt Google nach dem Klick auf eine Anzeige ein Cookie, das bei einer Bestellung ausgelesen wird. Wir erfahren dadurch nur die Gesamtzahl der Nutzerinnen und Nutzer, die auf eine Anzeige geklickt und anschließend bestellt haben, sowie den Bestellwert, nicht Ihre Identität. Mit Remarketing können wir Besucherinnen und Besuchern unserer Website später auf anderen Websites und in Google-Diensten Anzeigen von uns zeigen. Dafür ordnet Google Ihren Browser über ein Cookie einer Zielgruppe zu, die Google für uns bildet. Sind Sie in Ihrem Google-Konto angemeldet und haben personalisierte Werbung erlaubt, kann Google die Daten geräteübergreifend verknüpfen; das können Sie in Ihrem Google-Konto unter „Meine Anzeigeneinstellungen“ (https://myadcenter.google.com) abschalten. Beide Funktionen laufen nur nach Ihrer Einwilligung in die Kategorie „Marketing“.

Gutschein eingelöst: Haben Sie beim Kauf eines Gutscheins im Cookie-Banner in „Marketing“ eingewilligt und sind Sie über eine Google-Anzeige zu uns gekommen, melden wir Google Ads, wenn dieser Gutschein bei uns eingelöst wird, dass auf den Anzeigenklick ein Besuch folgte. Die Meldung enthält nur die Klick-Kennung aus Ziffer 3.3, den Zeitpunkt der ersten Einlösung, den Wert des Gutscheins und Ihre Einwilligungsentscheidung, keinen Namen und keine Kontaktdaten, weder der Käuferin oder des Käufers noch der Person, die den Gutschein einlöst. Google Ads ruft diese Angaben über eine geschützte Adresse bei uns ab, und zwar nur innerhalb von 90 Tagen nach dem Anzeigenklick; danach löschen wir die Einträge. Ist ein Gutschein ganz oder teilweise eingelöst, bleibt die Meldung bestehen, auch wenn wir danach den Rest oder aus Kulanz erstatten, denn der Besuch hat stattgefunden. Nehmen wir eine Einlösung zurück, weil sie irrtümlich gebucht war, ziehen wir die Meldung bei Google Ads zurück. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Ein Widerruf über „Cookie-Einstellungen“ gilt für Ihre Käufe danach. Die Kennungen aus Ziffer 3.3 entfernen wir aus Ihrer Bestellung bei Shopify, sobald sie in unserer Kundendatenbank gespeichert sind. Die Adresse der Seite, auf der Sie unseren Shop betreten haben, speichert Shopify dagegen als Teil der Bestellunterlagen, auch wenn sie eine Klick-Kennung enthält; diese Angabe können wir bei Shopify nicht ändern. In unserer Kundendatenbank speichern wir sie ohne Kennungen.

11.5 Meta Pixel und Conversions API

Wir schalten Anzeigen auf Facebook und Instagram. Um deren Erfolg zu messen und Zielgruppen zu bilden, setzen wir den Meta Pixel und die Conversions API der Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland („Meta“) ein. Beides binden wir über die Shopify-App „Facebook & Instagram“ von Meta ein und nur, wenn Sie im Cookie-Banner in die Kategorie „Marketing“ eingewilligt haben (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Ohne Einwilligung wird der Pixel nicht geladen und es werden keine Daten an Meta gesendet.

Mit Ihrer Einwilligung setzt der Pixel ein Cookie in Ihrem Browser und übermittelt an Meta, welche Seiten Sie besucht und welche Aktionen Sie ausgeführt haben (zum Beispiel Produktansicht, Warenkorb, Kauf mit Bestellwert), zusammen mit Ihrer IP-Adresse, Browserdaten und der Pixel-Kennung. Über die Conversions API übermittelt unser Shopsystem dieselben Ereignisse zusätzlich direkt von Server zu Server; dabei können Kontaktdaten wie E-Mail-Adresse, Telefonnummer oder Name in gehashter Form mitgesendet werden, damit Meta das Ereignis einem Meta-Konto zuordnen kann („erweiterter Abgleich“). Wir nutzen diese Daten, um zu messen, ob unsere Anzeigen zu Besuchen und Bestellungen führen (Conversion-Messung), und um Zielgruppen für unsere Anzeigen zu bilden, etwa Besucherinnen und Besucher unserer Website oder Personen mit ähnlichen Merkmalen (Custom Audiences, Lookalike Audiences). Für uns sind die Daten anonym; Meta kann sie jedoch Ihrem Facebook- oder Instagram-Konto zuordnen und für eigene Zwecke verwenden.

Für die Erhebung und Übermittlung der Daten an Meta sind wir und Meta gemeinsam verantwortlich (Art. 26 DSGVO). Die Vereinbarung dazu ist das „Controller Addendum“ von Meta: https://www.facebook.com/legal/controller_addendum. Danach ist Meta dafür zuständig, Ihnen die Informationen nach Art. 13 DSGVO für die gemeinsame Verarbeitung bereitzustellen und Ihre Betroffenenrechte in Bezug auf die bei Meta gespeicherten Daten zu erfüllen; die weitere Verarbeitung nach der Übermittlung erfolgt in alleiniger Verantwortung von Meta. Meta kann Daten an die Meta Platforms Inc. in den USA übermitteln; Meta ist unter dem EU-US Data Privacy Framework zertifiziert. Ihre Einwilligung können Sie jederzeit über „Cookie-Einstellungen“ widerrufen. Ihre Werbeeinstellungen bei Meta können Sie unter https://www.facebook.com/adpreferences/ad_settings verwalten; Metas Datenschutzhinweise finden Sie unter https://www.facebook.com/privacy/policy/

12. Google Maps (Zwei-Klick-Lösung)

Auf unserer Kontaktseite können Sie eine Karte von Google Maps (Google Ireland Limited, Anschrift siehe Ziffer 11.1) anzeigen lassen, um unseren Standort und die Anfahrt zu sehen. Die Karte wird nicht automatisch geladen. Sie sehen zunächst nur einen Platzhalter mit dem Hinweis, dass beim Laden Daten an Google übertragen werden. Erst wenn Sie auf „Karte laden“ klicken, lädt Ihr Browser die Karte von den Servern von Google; dabei werden Ihre IP-Adresse und Angaben zu Ihrem Browser an Google übermittelt, bei angemeldetem Google-Konto auch die Zuordnung zu Ihrem Konto. Rechtsgrundlage ist Ihre Einwilligung durch den Klick (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG); sie gilt für den jeweiligen Seitenaufruf. Alternativ finden Sie neben der Karte einen Link, der unseren Standort direkt bei Google Maps öffnet. Google kann Daten in die USA übermitteln und ist unter dem EU-US Data Privacy Framework zertifiziert. Datenschutzhinweise: https://policies.google.com/privacy?hl=de

13. Ihr Besuch und Ihre Käufe im Sultan Hamam Berlin

Am Empfang arbeitet unser Team an Rechnern mit unserer Kundendatenbank (Ziffer 5). Gutscheine prüfen wir mit einem unserer Geräte, etwa einem Scanner oder einem Smartphone des Hauses, oder wir geben den Code von Hand ein (Ziffer 5.3).

Das iPad am Empfang ist nur für Sie als Gast gedacht. Möchten Sie uns Angaben machen, startet unser Team am Rechner einen Vorgang, oder Sie tippen selbst auf dem iPad auf „Ich bin da“. Sie tragen dann Ihren Namen, Ihre Kontaktdaten und, wenn Sie möchten, Ihre Häkchen für Newsletter und WhatsApp-Nachrichten selbst auf dem iPad ein; beim Check-in und nach „Ich bin da“ können Sie auch Ihr Geburtsdatum angeben (Ziffer 13.1). Sie können uns Ihre Angaben stattdessen auch nennen. Auf dem Formular sehen Sie einen kurzen Hinweis, wofür wir Ihre Angaben speichern, und einen QR-Code, der diese Datenschutzerklärung auf Ihrem Handy öffnet. Auf dem iPad sehen Sie nur dieses eine Formular und keine Angaben anderer Gäste. Hat unser Team Ihre bestehende Karteikarte gewählt, zeigt Ihnen das iPad Ihren dort gespeicherten Namen und Ihre Kontaktdaten zum Prüfen; sind es nicht Ihre, tippen Sie auf „Das sind nicht meine Angaben“, dann verschwinden sie vom iPad. Unser Team sieht Ihre Eingaben zur Kontrolle am Rechner, damit Tippfehler auffallen, etwa in der E-Mail-Adresse; ändern kann es Ihre Angaben nur, wenn Sie die Änderung auf dem iPad bestätigen. Die Häkchen setzen nur Sie selbst. Ihre Eingaben liegen verschlüsselt auf unserem Server, solange der Vorgang offen ist. Übernimmt unser Team sie, stehen sie danach auf Ihrer Karteikarte, soweit Sie sie uns dafür gegeben haben, und werden im Übrigen gelöscht. Wird der Vorgang abgebrochen, tippen Sie eine Weile nichts mehr oder übernimmt unser Team Ihre Angaben nicht innerhalb von 30 Minuten, löschen wir sie. Auf dem iPad selbst wird nichts gespeichert. Es gelten die Rechtsgrundlagen des jeweiligen Vorgangs (Ziffern 9.4, 13.1 und 13.2).

13.1 Check-in, Spind, Leihartikel und Bestellungen während des Besuchs

Wenn Sie zu uns kommen, erfassen wir Ihren Besuch in unserer Kundendatenbank (Ziffer 5). Dazu gehören die Nummer Ihres Spinds, Datum und Uhrzeit von Check-in und Check-out, die Art Ihres Eintritts und das daraus folgende geplante Ende, gegebenenfalls der Gutschein, den Sie einlösen oder vorlegen, die Handtücher und anderen Leihartikel, die Sie erhalten und zurückgeben, sowie alles, was Sie während des Besuchs bestellen, zum Beispiel Speisen, Getränke, Aufwertungen und Behandlungen, jeweils mit Preis. Leihartikel, die Ihr Gutschein schon enthält, vermerken wir ohne Betrag. Kommen Sie mit Begleitung, können wir die Besuche als Gruppe zusammenfassen. Bezahlt wird beim Gehen ausschließlich an unserer Kasse. In die Kasse übernehmen wir nur die bestellten Leistungen und eine Vorgangsnummer, nicht Ihren Namen. Zahlungsdaten übernehmen wir nicht in die Kundendatenbank.

Ihre Angaben: Ihren Namen und Ihre Kontaktdaten erfassen wir nur, wenn Sie sie auf dem iPad am Empfang selbst eintragen, sie uns nennen oder bereits als Kundin oder Kunde bei uns gespeichert sind. Möchten Sie keine Angaben machen, checken wir Sie nur mit der Spindnummer ein; dadurch entsteht Ihnen kein Nachteil. Tragen Sie sich selbst ein, ist nur Ihr Vorname erforderlich; Nachname, E-Mail-Adresse und Telefonnummer sind freiwillig. Am Besuch vermerken wir, dass Sie sich selbst eingetragen haben, und die Sprache, die Sie dabei gewählt haben. Die Häkchen für Newsletter und WhatsApp-Nachrichten auf demselben Formular sind davon unabhängig (Ziffer 9.4).

Geburtsdatum: Beim Check-in können Sie uns freiwillig Ihr Geburtsdatum angeben, auf dem iPad am Empfang (auch nach „Ich bin da“) oder indem Sie es unserem Team nennen. Wir speichern es auf Ihrer Karteikarte und nutzen es nur, um Ihnen über die Kanäle, in die Sie eingewilligt haben (Ziffer 9), zum Geburtstag zu gratulieren, gegebenenfalls mit einem Angebot. An Klaviyo und Superchat geben wir es nicht weiter. Rechtsgrundlage ist Ihre Einwilligung, die Sie mit der Angabe erteilen (Art. 6 Abs. 1 lit. a DSGVO). Ohne Geburtsdatum entsteht Ihnen kein Nachteil. Wir speichern es, solange Ihre Karteikarte besteht, und entfernen es bei deren Löschung (Ziffern 5.5 und 15). Sie können Ihre Einwilligung jederzeit widerrufen; dann löschen wir Ihr Geburtsdatum.

Gutscheine: Lösen Sie bei Ihrem Besuch einen Gutschein ein oder legen Sie einen vor, verknüpfen wir Ihren Besuch mit diesem Gutschein und gegebenenfalls mit seiner Einlösung (Ziffer 5.3). Den Besuch ordnen wir nur der Person zu, die tatsächlich zu uns kommt, und nur, wenn sie uns Angaben macht: bei einem geschenkten Gutschein also Ihnen als beschenkter Person, nicht der Person, die den Gutschein gekauft hat. Ist die Käuferin oder der Käufer bei uns gespeichert, sieht unser Team beim Scannen deren Vornamen, den Anfangsbuchstaben des Nachnamens und gekürzte Kontaktangaben, um zu erkennen, ob sie oder er selbst zu Besuch kommt. Umgekehrt erfährt die Käuferin oder der Käufer von uns nicht, wer den Gutschein eingelöst hat: Wir benachrichtigen sie oder ihn nicht, und bei ihr oder ihm vermerken wir nur, dass und wann der Gutschein eingelöst wurde. Ist ein Besuch versehentlich der falschen Person zugeordnet, berichtigt das unsere Leitung; der Besuch steht dann auf der richtigen Karteikarte.

Zwecke und Rechtsgrundlagen: Wir verarbeiten diese Daten, um Ihren Besuch durchzuführen, Ihren Gutschein einzulösen, Ihnen einen Spind und Leihartikel zu überlassen und Ihre Bestellungen beim Gehen vollständig an der Kasse abzurechnen (Art. 6 Abs. 1 lit. b DSGVO). Die bestellten Leistungen mit ihren Preisen sind zugleich steuerliche Aufzeichnungen, die wir aufbewahren müssen (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit §§ 146, 147 AO). Darüber hinaus haben wir ein berechtigtes Interesse daran, unser Hausrecht auszuüben, Spinde, Schlüssel und Fundsachen zu verwalten, nicht zurückgegebene Leihartikel und nicht bezahlte Leistungen nachzuverfolgen, beim Einlösen eines Gutscheins zu erkennen, ob die Käuferin oder der Käufer selbst kommt, eine vollständige Übersicht über Ihre Besuche zu führen und unsere Auslastung zu planen; für die Planung werten wir die Besuchszeiten nur zusammengefasst aus (Art. 6 Abs. 1 lit. f DSGVO).

Zugriff: Auf die Daten greifen nur unsere Mitarbeitenden an den Geräten im Haus und die Leitung zu, jeweils mit einem eigenen Konto oder dem Konto ihres Arbeitsplatzes. Zugriffe werden protokolliert (Ziffer 5.4). Auf Listen und Bildschirmen, die andere Gäste sehen könnten, zeigen wir höchstens Ihren Vornamen und den Anfangsbuchstaben Ihres Nachnamens. Die Daten liegen auf unserem eigenen Server bei Hetzner in Deutschland (Ziffer 5.1). Wir geben sie nicht an Dritte weiter. Ausgenommen sind unsere Steuerberatung und die Finanzbehörden, soweit sie im Rahmen ihrer gesetzlichen Aufgaben die steuerlichen Aufzeichnungen einsehen (Art. 6 Abs. 1 lit. c DSGVO); Ihr Name und Ihre Spindnummer gehören nicht dazu.

Keine Gesundheitsangaben: Zu Ihrem Besuch speichern wir keine Angaben zu Ihrer Gesundheit und keine freien Notizen. Gründe, etwa für eine Stornierung, einen fehlenden Leihartikel oder den Abbruch eines Besuchs, wählen unsere Mitarbeitenden aus einer festen Liste aus. Für die Sicherheitsabfrage gilt Ziffer 13.3.

Ausfall des Internets: Ist unser System nicht erreichbar, notieren wir Ihren Besuch und Ihre Bestellungen auf einem Papiervordruck mit Ihrer Spindnummer und, wenn Sie möchten, Ihrem Vornamen und dem Anfangsbuchstaben Ihres Nachnamens. Sobald das System wieder erreichbar ist, tragen wir den Besuch nach. Den Vordruck bewahren wir danach als steuerliche Ursprungsaufzeichnung so lange auf wie die bestellten Leistungen (Ziffer 15).

Speicherdauer und Ihre Rechte: Die Fristen stehen in Ziffer 15. Ihre Rechte nach Ziffer 14 gelten auch hier. Insbesondere können Sie der Verarbeitung auf Grundlage unseres berechtigten Interesses, etwa der Übersicht über Ihre Besuche, jederzeit widersprechen (Art. 21 DSGVO). Angaben, die wir aus steuerlichen Gründen aufbewahren müssen, können wir vor Ablauf der Frist nicht löschen; wir trennen sie in diesem Fall von Ihrer Karteikarte (Ziffer 5.5, Art. 17 Abs. 3 lit. b DSGVO).

13.2 Gutscheinkauf vor Ort

Wenn Sie bei uns vor Ort einen Gutschein kaufen, legt unser Team ihn am Rechner in unserem Gutscheinregister an, so wie einen Gutschein aus unserem Online-Shop: mit Code, Inhalt, gebuchten Zusätzen, Sprache, Ausstellungs- und Ablaufdatum. Den Kauf selbst erfassen wir mit einer Vorgangsnummer, dem Inhalt, den Preisen aus unserem Katalog, der Uhrzeit und dem Konto, mit dem unser Team den Kauf erfasst.

Ihre Angaben: Ihren Namen und Ihre Kontaktdaten erfassen wir nur, wenn Sie sie uns nennen; unser Team trägt sie ein oder wählt Ihre bestehende Karteikarte aus. Möchten Sie den Gutschein als PDF per E-Mail erhalten, brauchen wir dafür Ihre E-Mail-Adresse und legen sie auf Ihrer Karteikarte in unserer Kundendatenbank (Ziffer 5) ab; die E-Mail versenden wir wie bei einer Bestellung im Online-Shop (Ziffer 5.2), mit kurzer Verzögerung, damit wir einen Irrtum vorher noch korrigieren können. Auf Ihren Wunsch senden wir das PDF an eine andere Adresse, etwa direkt an die beschenkte Person; diese Adresse speichern wir nicht auf Ihrer Karteikarte, sondern nur für den Versand und in der Kopie der Gutschein-E-Mail. Für die beiden anderen Wege brauchen wir keine Angaben von Ihnen, und dadurch entsteht Ihnen kein Nachteil. Beim PDF aufs Handy zeigen wir Ihnen am Bildschirm einen QR-Code, über den Sie das PDF mit Ihrem eigenen Handy laden; der Link dahinter ist 30 Tage gültig, beim Abruf gilt dasselbe wie in Ziffer 5.2. Bei der handgeschriebenen Karte kleben wir einen Aufkleber mit dem QR-Code und dem Gutscheincode ein oder schreiben den Code von Hand in die Karte; Angaben zu Ihrer Person stehen darauf nicht. Nennen Sie uns Ihre Daten, speichern wir den Kauf auch auf Ihrer Karteikarte. Einwilligungen in Newsletter oder WhatsApp-Nachrichten erfassen wir beim Gutscheinkauf nicht; Sie können sie unabhängig davon auf dem iPad am Empfang erteilen (Ziffer 9.4).

Bezahlung: Bezahlt wird ausschließlich an unserer Kasse. Unser Gutscheinsystem nimmt keine Zahlung an und speichert keine Zahlungsdaten.

Ausfall des Internets: Ist unser System nicht erreichbar, notieren wir den Kauf auf einem Papiervordruck und tragen ihn später nach. Den Teil des Vordrucks mit Ihren Kontaktdaten vernichten wir nach dem Nachtragen.

Zwecke und Rechtsgrundlagen: Wir verarbeiten diese Daten, um den Kaufvertrag zu erfüllen, Ihnen den Gutschein zuzustellen und ihn später einzulösen sowie für Rückfragen zum Gutschein (Art. 6 Abs. 1 lit. b DSGVO). Inhalt, Preise und Zeitpunkt des Kaufs sind zugleich steuerliche Aufzeichnungen, die wir aufbewahren müssen (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit §§ 146, 147 AO). Darüber hinaus haben wir ein berechtigtes Interesse daran, eine vollständige Übersicht über Ihre Käufe bei uns zu führen, online und vor Ort (Art. 6 Abs. 1 lit. f DSGVO).

Zugriff und Empfänger: Auf die Daten greifen nur unsere Mitarbeitenden im Haus zu, mit einem persönlichen Konto oder dem Konto des Empfangs, jeweils mit Passwort; Konten mit Administrationsrechten zusätzlich mit Anmeldung in zwei Schritten. Listen am Tresen zeigen keine Namen. Zugriffe werden protokolliert (Ziffer 5.4). Die Daten liegen auf unserem eigenen Server bei Hetzner in Deutschland (Ziffer 5.1). Weitergegeben werden sie nur an den E-Mail-Dienstleister für den Versand nach Ziffer 5.2 sowie an unsere Steuerberatung und die Finanzbehörden, soweit diese im Rahmen ihrer gesetzlichen Aufgaben die steuerlichen Aufzeichnungen einsehen (Art. 6 Abs. 1 lit. c DSGVO); Ihr Name gehört nicht zu diesen Aufzeichnungen.

Speicherdauer und Ihre Rechte: Die Fristen stehen in Ziffer 15. Ihre Rechte nach Ziffer 14 gelten auch hier. Insbesondere können Sie der Verarbeitung auf Grundlage unseres berechtigten Interesses, etwa der Übersicht über Ihre Käufe, jederzeit widersprechen (Art. 21 DSGVO). Angaben, die wir aus steuerlichen Gründen aufbewahren müssen, können wir vor Ablauf der Frist nicht löschen; wir trennen sie in diesem Fall von Ihrer Karteikarte (Ziffer 5.5, Art. 17 Abs. 3 lit. b DSGVO).

13.3 Sicherheitsabfrage

Vor dem Besuch der Wärmebereiche fragen wir Sie mündlich, ob gesundheitliche Gründe gegen den Besuch sprechen, zum Beispiel eine Schwangerschaft. Ihre Antwort halten wir nicht fest, weder digital noch auf Papier. Die einzige Ausnahme ist die schriftliche Erklärung für Besuche während einer Schwangerschaft.

Möchten Sie die Wärmebereiche während einer Schwangerschaft nutzen, bitten wir Sie vorher um eine kurze Erklärung auf Papier. Darin bestätigen Sie, dass wir Sie über die besonderen Risiken informiert haben und dass Sie sich bewusst für den Besuch entscheiden. Die Erklärung enthält nur Ihren Namen, das Datum, Ihre Unterschrift und das Kürzel unserer Mitarbeiterin oder unseres Mitarbeiters. Weil sie erkennen lässt, dass Sie schwanger sind, ist sie eine Gesundheitsangabe. Rechtsgrundlage ist Ihre ausdrückliche Einwilligung, die Sie mit Ihrer Unterschrift erteilen (Art. 9 Abs. 2 lit. a DSGVO).

Die Erklärung bleibt ausschließlich auf Papier. Wir scannen oder fotografieren sie nicht und übertragen keine Angaben daraus in digitale Systeme, auch nicht in unsere Kundendatenbank oder Terminsoftware. Wir bewahren sie in einem verschlossenen Schrank auf und vernichten sie drei Jahre nach Ende des Jahres Ihres Besuchs. So lange können wir sie benötigen, um uns gegen mögliche Ansprüche zu verteidigen (Art. 9 Abs. 2 lit. f DSGVO). Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, zum Beispiel per E-Mail an info@sultan-hamam.de. Die Erklärung bewahren wir dann bis zum Ende der Frist gesondert auf und nutzen sie nur noch zur Abwehr von Ansprüchen.

14. Ihre Rechte

Sie haben gegenüber uns das Recht auf Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO), auf Berichtigung unrichtiger Daten (Art. 16 DSGVO), auf Löschung (Art. 17 DSGVO), auf Einschränkung der Verarbeitung (Art. 18 DSGVO) und auf Herausgabe der Daten, die Sie uns bereitgestellt haben, in einem gängigen maschinenlesbaren Format (Art. 20 DSGVO). Eine erteilte Einwilligung können Sie jederzeit widerrufen (Art. 7 Abs. 3 DSGVO).

Widerspruchsrecht: Verarbeiten wir Ihre Daten auf Grundlage eines berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO), können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch einlegen (Art. 21 Abs. 1 DSGVO). Wir verarbeiten die Daten dann nicht weiter, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Gegen Direktwerbung können Sie jederzeit ohne Angabe von Gründen Widerspruch einlegen (Art. 21 Abs. 2 DSGVO); wir stellen die Werbung dann ein.

Zur Ausübung Ihrer Rechte genügt eine Nachricht an die in Ziffer 1 genannte Adresse.

Sie haben außerdem das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59-61, 10555 Berlin, Telefon 030 13889-0, E-Mail mailbox@datenschutz-berlin.de. Sie können sich auch an die Aufsichtsbehörde an Ihrem Wohnort wenden.

15. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck nötig ist oder eine gesetzliche Aufbewahrungspflicht besteht. Im Einzelnen:

• Bestell-, Rechnungs- und Gutscheindaten einschließlich der Einlöseprotokolle und der Kopie der Bestelldaten in unserem System (Ziffer 5.1): bis zum Ablauf der steuer- und handelsrechtlichen Aufbewahrungsfristen von bis zu zehn Jahren nach Ende des Jahres, in dem der Vorgang abgeschlossen wurde (§ 147 AO, § 257 HGB).
• Nicht eingelöste Gutscheine: bis zum Ablauf der Gültigkeit und der anschließenden Aufbewahrungsfrist.
• Kundenkonto: bis zur Löschung des Kontos, Bestelldaten wie oben.
• Ihre Karteikarte in unserer Kundendatenbank (Ziffer 5) mit Name, Kontaktdaten, gegebenenfalls Geburtsdatum und der Übersicht über Ihre Käufe, Termine und Besuche: bis Sie die Löschung verlangen, spätestens bis drei Jahre nach Ende des Jahres Ihres letzten Besuchs, Kaufs oder Termins bei uns; als Kauf zählt auch die Einlösung eines Gutscheins, den Sie gekauft haben. Was bei der Löschung geschieht und was wir aufbewahren müssen, steht in Ziffer 5.5.
• Ihr Besuch vor Ort (Ziffer 13.1): die Spindnummer 90 Tage nach dem Check-out; Datum und Uhrzeit Ihrer Besuche, Gutscheine, Leihartikel und Bestellungen mit Bezug zu Ihrer Karteikarte so lange wie diese; die bestellten Leistungen und Beträge bis zu zehn Jahre nach Ende des Jahres des Besuchs (§ 147 AO), nach Löschung Ihrer Karteikarte getrennt von dieser; der Papiervordruck bei Ausfall des Internets so lange wie die bestellten Leistungen.
• Ihr Gutscheinkauf vor Ort (Ziffer 13.2): Vorgangsnummer, Inhalt, Preise und Zeitpunkt des Kaufs bis zu zehn Jahre nach Ende des Jahres des Kaufs (§ 147 AO), nach Löschung Ihrer Karteikarte getrennt von dieser; Ihr Name und Ihre Kontaktdaten so lange wie Ihre Karteikarte; der Teil eines Papiervordrucks mit Ihren Kontaktdaten bis zum Nachtragen in unser System.
• Ihre Eingaben auf dem iPad am Empfang (Ziffer 13): bis zum Abschluss des Vorgangs, höchstens 30 Minuten nach dem Absenden.
• Terminanfragen und E-Mail-Korrespondenz: zwölf Monate nach Erledigung des Anliegens, soweit keine Aufbewahrungspflicht besteht.
• Chatverläufe in Superchat: zwölf Monate nach dem letzten Kontakt; Geschäftskorrespondenz, etwa zu Buchungen, Käufen, Gutscheinen und Reklamationen, sechs Jahre nach Ende des Jahres des letzten Kontakts (§ 257 HGB, § 147 AO).
• Newsletter- und WhatsApp-Einwilligungen: bis zum Widerruf. Unbestätigte Anmeldungen: bis wir sie bei unserer regelmäßigen Überprüfung löschen, weil wir sie nicht mehr zum Nachweis des Anmeldevorgangs benötigen; auf Ihren Wunsch sofort. Den Nachweis einer Einwilligung, die Sie vor Ort oder im Online-Shop erteilt haben (Zeitpunkt, Kanal, Herkunft, Textfassung, gegebenenfalls Widerruf), bewahren wir auf, solange Ihre Karteikarte besteht, und nach deren Löschung in der in Ziffer 5.5 beschriebenen Form bis zum Ende des dritten Jahres nach dem Jahr der Löschung (Art. 17 Abs. 3 lit. e DSGVO, §§ 195, 199 BGB). Für Anmeldungen über das Terminanfrage-Formular liegt der Nachweis bei Klaviyo bzw. im Chatverlauf bei Superchat. Papierformulare aus früheren Anmeldungen vor Ort bewahren wir bis drei Jahre nach Ende des Jahres auf, in dem Sie widerrufen haben oder Ihre unbestätigte Anmeldung gestrichen wurde. Scans von Papierformularen bewahren wir auf, solange Ihre Karteikarte besteht, und nach deren Löschung bis zum Ende des dritten Jahres nach dem Jahr der Löschung.
• Einwilligung zu Bewertungseinladungen: bis zum Widerruf; die Einladung selbst versendet Trustpilot einmalig.
• Google Analytics: Nutzerdaten 14 Monate; Google Ads Conversion-Cookies bis zu 90 Tage, Remarketing-Cookies bis zu 540 Tage nach Ihrer letzten Aktion.
• Meta Pixel: das Pixel-Cookie („_fbp“) bis zu 90 Tage; die an Meta übermittelten Ereignisdaten speichert Meta nach seinen eigenen Regeln, in der Regel bis zu 180 Tage für Zielgruppen.
• Kampagnen- und Klick-Kennungen (Ziffer 3.3): im lokalen Speicher Ihres Browsers 90 Tage, bei Widerruf Ihrer Einwilligung sofort; zu Ihrer Bestellung in unserer Kundendatenbank Google-Kennungen 90 Tage nach dem Anzeigenklick, Meta-Kennungen 180 Tage, Analytics-Kennung 14 Monate.
• Meldungen eingelöster Gutscheine an Google Ads (Ziffer 11.4): Einträge 90 Tage nach dem Anzeigenklick. Protokoll der Abrufe durch Google Ads (Zeitpunkt, Ergebnis, Zahl der Einträge, gekürzte IP-Adresse, ohne Namen und ohne Kennungen): erfolgreiche Abrufe drei Jahre, abgelehnte Abrufe 30 Tage.
• Cookie-Entscheidung: zwölf Monate; danach fragen wir im Cookie-Banner erneut.
• Zugriffsprotokolle unserer Kundendatenbank (Ziffer 5.4): drei Jahre nach ihrer Entstehung. Server-Protokolle des Gutschein-Downloads: zwölf Monate.
• Sicherungskopien unserer Datenbank und unseres Automatisierungssystems (Ziffer 5.1): höchstens zwölf Monate.
• Daten in der Terminsoftware: bis drei Jahre nach Ihrem letzten Besuch.
• Schriftliche Erklärungen für Besuche während der Schwangerschaft (Ziffer 13.3): nur auf Papier, Vernichtung drei Jahre nach Ende des Jahres Ihres Besuchs.

16. Änderungen dieser Datenschutzerklärung

Wir passen diese Erklärung an, wenn sich unsere Dienste, die eingesetzten Anbieter oder die Rechtslage ändern. Es gilt die jeweils auf unserer Website veröffentlichte Fassung.

Stand: Oktober 2026