Datenschutzerklärung

Stand: Oktober 2026

Auf einen Blick

Wer ist verantwortlich? Eriva, Inhaber Varuzhan Gulyan, München (Ziffer 1). Kontakt für alle Datenschutzfragen: hallo@eriva.de.
Wofür verarbeiten wir Daten? Um unsere Websites bereitzustellen, Anfragen von Salons zu bearbeiten, die Eriva-Plattform zu betreiben und – im Auftrag der Salons – deren Buchungsseiten, Shops, Websites und Kundenkommunikation technisch abzuwickeln.
Künstliche Intelligenz: Chats und Messenger-Nachrichten, die Kundendaten enthalten können, beantworten KI-Modelle bei Anbietern in der EU (Melious AI GmbH, Saarbrücken; ersatzweise Google Cloud in der EU). Unsere Telefonassistenten und einige Zusatzfunktionen nutzen Anbieter in den USA (Ziffer 30).
Werbung und Tracking: Das Meta-Pixel laden wir auf eriva.de nur mit Ihrer Einwilligung (Ziffer 9). In der Web-Anwendung setzen wir keine Analyse- oder Werbetechnik ein. Schriftarten liefern wir von unseren eigenen Servern aus.
Kundinnen und Kunden von Salons: Für Buchungen, Bestellungen und Chats mit einem Salon ist der Salon verantwortlich; wir arbeiten in seinem Auftrag (Abschnitt D).
Ihre Rechte: Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerruf und Beschwerde (Ziffern 32, 34). Ihr Widerspruchsrecht steht gesondert in Ziffer 33.

Inhalt

A. Allgemeines — 1 Verantwortlicher · 2 Geltungsbereich · 3 Rollen · 4 Rechtsgrundlagen · 5 Empfänger und Drittländer · 6 Speicherdauer B. Websites eriva.de, eriva-salon.de, eriva-beauty.de — 7 Hosting und Server-Protokolle · 8 Cookies und ähnliche Technologien · 9 Meta-Pixel · 10 Website-Chat · 11 Anfrage über das Formular · 12 Telefon, Messenger und E-Mail · 13 Links zu sozialen Netzwerken · 14 Schriftarten C. Eriva-Plattform für Salons — 15 Zugang und Kundenkonto · 16 Vertrag, Abrechnung, Zahlungen · 17 Kommunikation mit Salons · 18 KI-Assistent für Salonbetreiber · 19 Inhalte erstellen und veröffentlichen · 20 Öffentlich zugängliche Unternehmensdaten · 21 Betrieb, Sicherheit, Datensicherung D. Verarbeitung im Auftrag von Salons, Händlern und Vereinen — 22 Grundsatz · 23 Buchungsseiten · 24 Online-Shop · 25 Salon-Websites und Chat-Widget · 26 Messenger- und Telefonassistenz der Salons · 27 Statistik und Meta-Werbung der Salons · 28 Eriva Training für Vereine · 29 Unterauftragsverarbeiter und Vertragsende E. Übergreifendes — 30 Einsatz Künstlicher Intelligenz · 31 Empfänger im Überblick · 32 Ihre Rechte · 33 Widerspruchsrecht · 34 Beschwerderecht · 35 Pflicht zur Bereitstellung · 36 Automatisierte Entscheidungen · 37 Datensicherheit · 38 Minderjährige · 39 Änderungen

A. Allgemeines

1. Verantwortlicher und Kontakt

Verantwortlich im Sinne von Art. 4 Nr. 7 DSGVO für die in dieser Erklärung als „unsere“ beschriebenen Verarbeitungen ist:

Eriva – Inhaber Varuzhan Gulyan (Einzelunternehmen) Thürmerstraße 10, 80992 München, Deutschland E-Mail: hallo@eriva.de · Telefon: +49 151 26855557

Für Fragen zum Datenschutz und zur Ausübung Ihrer Rechte genügt eine formlose Nachricht an hallo@eriva.de.

Datenschutzbeauftragter: Einen Datenschutzbeauftragten haben wir nicht benannt. Ihr Ansprechpartner für Datenschutzfragen ist der Inhaber unter den obigen Kontaktdaten.

2. Für welche Angebote gilt diese Erklärung?

die Website eriva.de, die auch unter eriva-salon.de und eriva-beauty.de erreichbar ist (gleicher Inhalt, gleiche Technik);
die Web-Anwendung Eriva unter eriva.io und eriva.app für Salonbetreiberinnen und -betreiber und ihre Mitarbeitenden;
unsere eigenen Kontaktkanäle: E-Mail, Telefon +49 89 6208 4999, Instagram (@eriva.de), Telegram (@eriva_de_bot) und WhatsApp (+49 89 6208 4999);
zur Information: die öffentlichen Seiten und Kanäle, die Salons, Händler und Vereine mit Eriva betreiben – Buchungsseiten, Online-Shops, Websites unter *.eriva.app oder einer eigenen Domain, Chat-Widget, Messenger- und Telefonassistenz sowie Eriva Training. Dort handeln wir im Auftrag unserer Kunden (Abschnitt D); maßgeblich sind deren Datenschutzhinweise.

Für Angebote Dritter, auf die wir verlinken (z. B. Instagram, WhatsApp, Telegram), gelten deren eigene Datenschutzhinweise.

3. Unsere Rollen: Verantwortlicher oder Auftragsverarbeiter

Personengruppe	Unsere Rolle	Ihr Ansprechpartner
Besucherinnen und Besucher unserer Websites, Interessentinnen und Interessenten, Personen, die uns anrufen oder schreiben	Verantwortlicher	Eriva
Salons, Händler und Vereine als unsere Kunden (Inhaber, Mitarbeitende) – Zugang, Vertrag, Abrechnung, Support, Nutzung der Plattform	Verantwortlicher	Eriva
Kundinnen und Kunden unserer Kunden (Buchung, Bestellung, Chat, Anruf, Vereinsmitgliedschaft) und sonstige Personen, deren Daten unsere Kunden in Eriva speichern	Auftragsverarbeiter (Art. 28 DSGVO)	der jeweilige Salon, Händler oder Verein

Mit jedem Kunden schließen wir einen Vertrag zur Auftragsverarbeitung. Die Daten seiner Kundinnen und Kunden verarbeiten wir nur nach seiner Weisung und nicht für eigene Zwecke.

4. Rechtsgrundlagen

Bei jeder Verarbeitung nennen wir die einschlägige Grundlage:

Art. 6 Abs. 1 lit. a DSGVO – Einwilligung;
Art. 6 Abs. 1 lit. b DSGVO – Vertrag oder vorvertragliche Maßnahmen auf Ihre Anfrage;
Art. 6 Abs. 1 lit. c DSGVO – rechtliche Verpflichtung, insbesondere handels- und steuerrechtliche Aufbewahrung und der Nachweis von Einwilligungen;
Art. 6 Abs. 1 lit. f DSGVO – berechtigte Interessen; das konkrete Interesse nennen wir jeweils;
§ 25 Abs. 1 TDDDG (Einwilligung) und § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich) – für Informationen, die in Ihrem Endgerät gespeichert oder ausgelesen werden (Ziffer 8).

5. Empfänger und Übermittlungen in Drittländer

Wir geben personenbezogene Daten nur weiter, soweit dies für die beschriebenen Zwecke nötig ist. Empfänger sind vor allem technische Dienstleister, die als Auftragsverarbeiter weisungsgebunden für uns arbeiten (Hosting, Datenbank, Datensicherung, E-Mail, Telefonie, KI-Dienste). Einige Anbieter, etwa Zahlungsdienstleister oder soziale Netzwerke, handeln in eigener Verantwortung. Alle Empfänger mit Sitz, Rolle und Übermittlungsgrundlage finden Sie in Ziffer 31.

Mehrere Dienstleister haben ihren Sitz in den USA oder in anderen Staaten außerhalb der EU und des EWR oder können von dort auf Daten zugreifen. Wir übermitteln nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind:

Data Privacy Framework (USA): Ist ein US-Empfänger nach dem EU-U.S. Data Privacy Framework zertifiziert, stützen wir die Übermittlung auf den Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023 (Art. 45 DSGVO). Gegen das Urteil, das diesen Beschluss bestätigt hat, ist ein Rechtsmittel beim Gerichtshof der EU anhängig (Rs. C-703/25 P). Soweit der Anbieter sie anbietet, vereinbaren wir daher zusätzlich Standardvertragsklauseln.
Standardvertragsklauseln: Bei Empfängern ohne Zertifizierung und in anderen Drittländern nutzen wir die Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss (EU) 2021/914, Art. 46 Abs. 2 lit. c DSGVO).
Plattformen, die Sie selbst wählen: Schreiben Sie uns über Telegram, Instagram oder WhatsApp, verarbeiten diese Plattformen Ihre Nachrichten in eigener Verantwortung; unsere Antwort übermitteln wir, weil Sie diesen Kanal für die Kommunikation mit uns gewählt haben (Art. 49 Abs. 1 lit. b DSGVO).

Eine Kopie der jeweiligen Garantien erhalten Sie auf Anfrage an hallo@eriva.de.

6. Speicherdauer

Wir löschen personenbezogene Daten, sobald der Zweck entfällt und keine Aufbewahrungspflicht besteht. Gesetzlich aufzubewahren sind insbesondere Handels- und Geschäftsbriefe sechs Jahre, Buchungsbelege acht Jahre sowie Bücher, Jahresabschlüsse und Inventare zehn Jahre (§ 257 HGB, § 147 AO). Die konkreten Fristen nennen wir bei den einzelnen Verarbeitungen. Gelöschte Daten können noch bis zum Ablauf der Aufbewahrungsfrist unserer verschlüsselten Datensicherungen enthalten sein (Ziffer 21).

B. Websites eriva.de, eriva-salon.de, eriva-beauty.de

7. Hosting und Server-Protokolle

Unsere Websites und die Web-Anwendung hostet Vercel Inc., Covina (Kalifornien, USA). Vercel liefert die Seiten über ein weltweites Servernetz aus; Abrufe aus Deutschland beantwortet in der Regel ein Rechenzentrum in Frankfurt am Main. Unsere Serverfunktionen – sowohl die der Web-Anwendung als auch die von eriva.de, die Ihre Formulareingaben entgegennehmen – laufen in Frankfurt am Main.

Bei jedem Aufruf verarbeitet Vercel die technisch notwendigen Verbindungsdaten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Statuscode, übertragene Datenmenge, Referrer sowie Angaben zu Browser und Betriebssystem (User-Agent). Ohne diese Daten kann keine Seite ausgeliefert werden. Wir werten sie aus, um Fehler zu finden und Angriffe abzuwehren. Zu diesem Zweck protokollieren unsere Serverfunktionen abgewiesene oder fehlgeschlagene Formularanfragen mit IP-Adresse und User-Agent, bei technischen Fehlern auch den Inhalt der Anfrage.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist eine sichere und funktionsfähige Website.
Empfänger: Vercel als Auftragsverarbeiter; Übermittlung in die USA nach Ziffer 5.
Speicherdauer: Die Protokolle unserer Serverfunktionen löscht Vercel in unserem Tarif nach einem Tag.

8. Cookies und ähnliche Technologien

Grundsatz. Informationen in Ihrem Endgerät speichern oder auslesen – mit Cookies, im Speicher Ihres Browsers (localStorage, sessionStorage, IndexedDB) oder im Zwischenspeicher eines Service Workers – dürfen wir nur mit Ihrer Einwilligung (§ 25 Abs. 1 TDDDG). Ohne Einwilligung ist das nur erlaubt, wenn es unbedingt erforderlich ist, damit wir einen von Ihnen ausdrücklich gewünschten Dienst erbringen können (§ 25 Abs. 2 Nr. 2 TDDDG), etwa um Sie angemeldet zu halten oder Ihre Sprachwahl zu merken. Werden dabei personenbezogene Daten verarbeitet, gilt zusätzlich die DSGVO.

Auf eriva.de fragen wir beim ersten Besuch, ob wir das Meta-Pixel laden dürfen. „Ablehnen“ und „Akzeptieren“ sind gleichwertig gestaltet. Bis zu Ihrer Entscheidung und nach einer Ablehnung lädt die Seite kein Skript eines Drittanbieters und setzt kein Cookie. Ändern oder widerrufen können Sie Ihre Wahl jederzeit über den Link „Cookie-Einstellungen“ im Seitenfuß.

In der Web-Anwendung (eriva.io, eriva.app) speichern wir nur, was für Anmeldung, Bedienung und Missbrauchsschutz erforderlich ist. Analyse- oder Werbetechnik setzen wir dort nicht ein; deshalb erscheint dort kein Einwilligungsfenster.

Auf Seiten der Salons (Buchungsseite, Salon-Website) fragt ein eigenes Einwilligungsfenster, bevor Statistik oder Meta-Technik des Salons geladen wird; die Wahl lässt sich jederzeit über „Cookie-Einstellungen“ (Salon-Website) bzw. „Datenschutzeinstellungen“ (Buchungsseite) im Seitenfuß ändern (Ziffer 27). Wo kein solches Fenster erscheint, findet keine Statistik und keine Meta-Messung statt.

Übersicht aller Einträge („LS“ = localStorage, „SS“ = sessionStorage, „Sitzung“ = bis zum Schließen des Tabs):

Name	Art	Wo	Zweck	Speicherdauer	Anbieter	Einwilligung
eriva.de
`eriva-lang`	LS	eriva.de	gewählte Sprache	bis Sie den Browserspeicher löschen	Eriva	nein – Ihre Sprachwahl
`eriva-consent`	LS	eriva.de	Ihre Entscheidung im Einwilligungsfenster	bis zur Änderung oder Löschung	Eriva	nein – erforderlich, um Ihre Wahl zu beachten
`eriva-visitor`, `eriva-chat-conv`	SS	eriva.de	zufällige Kennung des Chatfensters und des Gesprächs; entsteht erst, wenn Sie eine eigene Frage senden	Sitzung	Eriva	nein – für den von Ihnen genutzten Chat
`eriva-teaser-done`	SS	eriva.de	merkt, dass der Hinweis auf den Chat schon gezeigt wurde; ohne Personenbezug	Sitzung	Eriva	nein
`_fbp`	Cookie	eriva.de	pseudonyme Browser-Kennung für das Meta-Pixel	90 Tage	Meta	ja
`_fbc`	Cookie	eriva.de	Kennung des Anzeigenklicks, nur wenn Sie über eine Meta-Anzeige kommen	90 Tage	Meta	ja
Cookies auf facebook.com (z. B. `fr`)	Cookie (Drittanbieter)	beim Laden des Pixels, wenn Sie bei Facebook/Instagram angemeldet sind	Zuordnung durch Meta	nach Meta-Richtlinie, bis 90 Tage	Meta	ja
Web-Anwendung (eriva.io, eriva.app)
`sb-pmxiymxtqefbxtebreja-auth-token`	LS	Web-Anwendung	Anmeldung (Zugangs- und Erneuerungs-Token)	bis zur Abmeldung	Eriva (Supabase)	nein – Anmeldung
`sb-…-code-verifier`	LS	Web-Anwendung	Sicherheitswert während einer Anmeldung über Weiterleitung	wenige Minuten	Eriva (Supabase)	nein
`velora_remember_me`	LS	Anmeldeseite	Stellung des Häkchens „Angemeldet bleiben“	bis zur Löschung	Eriva	nein
`velora_fp_fallback_v1`	LS	Begrüßungs-Chat für neue Salons	zufällige Kennung, um Missbrauch des kostenlosen Chats zu begrenzen; entsteht erst, wenn Sie den Chat nutzen	bis Sie den Browserspeicher löschen	Eriva	nein – Missbrauchsschutz des von Ihnen genutzten Chats
`velora_online_popup_v1`, `velora_online_session_v1`	LS	Web-Anwendung, nur für angemeldete Salonbetreiber, nicht auf öffentlichen Seiten	Zustand des Chatfensters „Eriva Online“ (ein-/ausgeklappt)	bis zur Abmeldung oder Löschung	Eriva	nein – Bedienung
`velora_theme`, `eriva_ui_locale`	LS	Web-Anwendung	Hell-/Dunkel-Modus, Sprache	bis zur Löschung	Eriva	nein – Ihre Einstellung
Einstellungen der Oberfläche (z. B. `velora_workspace_client_id_v1:…`, `content-studio-…`, `velora_grid_…`, `eriva_shop_…`, `eriva_booking_view:…`, `velora_enabled_tools_…`)	LS / SS	Web-Anwendung	gewählter Salon, aufgeklappte Bereiche, Entwürfe, Ansichten, Zwischenspeicher für Abfragen (bis 24 Stunden)	bis zur Abmeldung oder Löschung	Eriva	nein – Bedienung
Service Worker, Cache Storage `eriva-pwa-v3-…`	Cache	Web-Anwendung für angemeldete Salonbetreiber; installierte App (Startbildschirm). Seiten von Buchung, Shop und Gutscheinen werden nicht zwischengespeichert	schnelleres Laden und Offline-Fähigkeit der App	bis zur nächsten App-Version	Eriva	nein – App-Funktion
`eriva_reloaded_stale_chunk`	SS	alle Seiten unter eriva.io / eriva.app	verhindert endloses Neuladen nach einem App-Update	Sitzung	Eriva	nein
`velora_owner_unlocked`, `velora_owner_session_…`	LS / SS	nur Administratoren von Eriva	Zugang zu internen Verwaltungsfunktionen	bis zur Abmeldung	Eriva	nein
Seiten der Salons (Buchung, Shop, Salon-Website, Chat-Widget)
`eriva_public_locale`, `eriva_public_locale:<Salon>`	LS	Buchungsseite, Shop	gewählte Sprache	bis zur Löschung	Eriva im Auftrag	nein – Ihre Sprachwahl
`velora_retail_cart:<Shop>`	LS	Shop	Inhalt Ihres Warenkorbs, entsteht beim ersten Hinzufügen	30 Tage	Eriva im Auftrag	nein – Warenkorb
`eriva:public-booking-contact:v1:<Salon>`, `eriva.beauty_app.recent_bookings.v1`	LS	Buchungsseite	Ihr Name, Ihre E-Mail-Adresse und Ihre letzten Buchungen – nur wenn Sie „Angaben auf diesem Gerät merken“ anhaken	bis Sie den Haken entfernen oder den Speicher löschen	Eriva im Auftrag	nein – Ihre ausdrückliche Wahl
`eriva.beauty_app.saved_salons.v1`	LS	Salon-Übersicht	von Ihnen gemerkte Salons	bis zur Löschung	Eriva	nein – Ihre Wahl
`velora_widget_visitor_id`, `velora_widget_session_id`, `eriva_widget_visitor_<Salon>`	LS / SS	Chat-Widget	Kennung Ihres Chats; entsteht erst, wenn Sie den Chat öffnen	LS bis zur Löschung, SS Sitzung	Eriva im Auftrag	nein – für den von Ihnen genutzten Chat
`eriva-theme`	LS	Salon-Website	gewählter Hell-/Dunkel-Modus, nur nach Ihrem Klick	bis zur Löschung	Eriva im Auftrag	nein – Ihre Einstellung
`eriva:meta-consent:v2:<Salon>`, `eriva-meta-marketing-consent-v1`, `eriva-cookie-ok`	LS	Buchungsseite, Salon-Website	Ihre Entscheidung im Einwilligungsfenster des Salons	bis zur Änderung; neue Frage, wenn der Salon die Einstellung ändert	Eriva im Auftrag	nein – erforderlich, um Ihre Wahl zu beachten
`eriva:tracking:visitor:v1`, `eriva:tracking:session:v1`, `eriva:tracking:first-touch:v1:…`, `eriva:tracking:server-session:v2:…`, `velora_vid`, `eriva_salon_tools_visitor_id`	LS / SS	Buchungsseite, Shop, Salon-Website	Statistik des Salons: Besuche, Herkunft (z. B. Werbekampagne), Weg bis zur Buchung	LS 12 Monate, SS Sitzung	Eriva im Auftrag	ja – „Statistik“
`_fbp`, `_fbc`	Cookie	Buchungsseite, Salon-Website	Meta-Pixel des Salons	90 Tage	Meta	ja – „Marketing“
`eriva:meta-attribution:v1:…`, `eriva:meta-authoritative-sent:v1:…`	SS / LS	Buchungsseite	Werbeherkunft für Meta; Schutz vor doppelt gemeldeten Ereignissen	Sitzung / 7 Tage	Eriva im Auftrag	ja – „Marketing“
`__telegram__initParams`	SS	Buchungsseite, nur wenn Sie sie in der Telegram-App öffnen	Start der Buchung als Telegram-Mini-App	Sitzung	Telegram	nein – von Ihnen gewählte Telegram-Nutzung
Eriva Training (Vereine)
`eriva-training-…` (LS/SS), Cache Storage `eriva-training-cloud-…`, IndexedDB `eriva-training-offline`	LS / SS / Cache / IndexedDB	Eriva Training	Anmeldung, Ansichten, Offline-Nutzung, noch nicht übertragene Zahlungsvermerke	bis zur Abmeldung; beim Abmelden gelöscht	Eriva im Auftrag	nein – App-Funktion

9. Meta-Pixel (nur mit Einwilligung)

Auf eriva.de nutzen wir das Meta-Pixel der Meta Platforms Ireland Ltd., Dublin, Irland, um zu messen, ob Besucherinnen und Besucher über unsere Instagram-Anzeigen kommen, und um diese Anzeigen auszusteuern.

Wann: nur nach Ihrem Klick auf „Akzeptieren“. Vorher wird kein Meta-Skript geladen, kein Cookie gesetzt und nichts an Meta übertragen.
Welche Daten: IP-Adresse, Angaben zu Browser und Gerät, aufgerufene Seite, Referrer, Zeitpunkt, die Kennungen _fbp und _fbc sowie die Ereignisse „Seitenaufruf“ und „Lead“. Das Ereignis „Lead“ senden wir, wenn Sie ein Formular abschicken; Ihre Formulareingaben selbst übermitteln wir dabei nicht. Sind Sie bei Facebook oder Instagram angemeldet, kann Meta den Besuch Ihrem Konto zuordnen.
Rechtsgrundlage: § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO.
Gemeinsame Verantwortlichkeit: Für das Erheben und Übermitteln der Daten an Meta sind wir mit Meta gemeinsam verantwortlich (Art. 26 DSGVO). Grundlage ist Metas Vereinbarung für gemeinsam Verantwortliche („Controller Addendum“), abrufbar unter facebook.com/legal/controller_addendum. Für die weitere Verarbeitung ist Meta allein verantwortlich; Ihre Rechte können Sie auch direkt gegenüber Meta geltend machen.
Drittland: Meta kann Daten an Meta Platforms, Inc. in den USA übermitteln; diese ist nach dem Data Privacy Framework zertifiziert.
Speicherdauer: _fbp und _fbc 90 Tage. Zu den Fristen bei Meta: facebook.com/privacy/policy.
Widerruf: jederzeit über „Cookie-Einstellungen“ im Seitenfuß und „Ablehnen“. Wir löschen dann die Meta-Cookies und laden die Seite neu; danach wird das Pixel nicht mehr geladen und es gehen keine Ereignisse mehr an Meta.

10. Website-Chat mit KI

Auf eriva.de können Sie ein Chatfenster öffnen. Antworten auf die vorgegebenen Schaltflächen erzeugt Ihr Browser selbst, ohne dass Daten übertragen werden. Stellen Sie eine eigene Frage, senden wir sie an unsere Web-Anwendung (Frankfurt am Main). Dort beantwortet ein KI-Sprachmodell Ihre Frage – Sie schreiben mit einem KI-System, nicht mit einem Menschen.

Daten: Ihre Nachrichten und der bisherige Gesprächsverlauf, eine zufällige Chat-Kennung, die aufgerufene Seite, Referrer, Sprache, Browser-Angaben und das aus der Verbindung abgeleitete Land. Ihre IP-Adresse speichern wir nur als Prüfwert (Hash), um Missbrauch zu begrenzen. Kontaktdaten erheben wir nur, wenn Sie sie selbst im Chat nennen; dann behandeln wir das Gespräch wie eine Anfrage nach Ziffer 11.
Zweck und Rechtsgrundlage: Beantwortung Ihrer Fragen zu Eriva und Vorbereitung einer möglichen Zusammenarbeit (Art. 6 Abs. 1 lit. b DSGVO); Missbrauchsschutz (Art. 6 Abs. 1 lit. f DSGVO).
Empfänger: Die Antwort erzeugt das Modell GLM-5.3-Flash bei der Melious AI GmbH, Saarbrücken, ausschließlich in Rechenzentren in der EU bzw. im EWR. Ist Melious nicht erreichbar, antwortet Gemini über Google Cloud in der EU-Region. Einen Ausweichweg in die USA gibt es nicht. Ist ein Abgleich mit unserer Wissenssammlung aktiviert, läuft er ebenfalls über Google Cloud in der EU. Supabase speichert das Gespräch (Ziffer 31).
Speicherdauer: Gesprächsprotokolle löschen wir automatisch zwölf Monate nach der letzten Nachricht, sofern daraus kein Kontakt in unserer Kundenverwaltung entstanden ist.
Bitte beachten Sie: Geben Sie im Chat keine sensiblen Daten wie Gesundheitsangaben ein. KI-Antworten können unvollständig oder fehlerhaft sein; verbindlich sind nur Angaben von uns persönlich.

11. Anfrage über das Formular „Platz sichern“

Mit dem Formular „Platz sichern“ können Salons Kontakt mit uns aufnehmen und sich für Eriva vormerken lassen.

Daten: Name, E-Mail-Adresse, Instagram-Profil oder Website des Salons, Telefonnummer (auch für WhatsApp), Ihre Angaben zum Salon, der genaue Text der Einwilligung mit Zeitpunkt sowie technisch IP-Adresse, Browser-Angaben, Sprache und Kampagnenparameter (UTM) der aufgerufenen Seite.
Ablauf: Das Formular übermittelt Ihre Angaben an unsere Serverfunktion (Frankfurt am Main), die sie an die Web-Anwendung weiterleitet. Dort speichern wir die Anfrage in unserer Datenbank (Speicherort Irland) und als Kontakt in unserer Kundenverwaltung. Sie erhalten eine Eingangsbestätigung per E-Mail (Resend). Der Inhaber erhält über Telegram nur einen Hinweis auf die neue Anfrage mit Namen bzw. Profil des Salons, ohne E-Mail-Adresse und Telefonnummer; diese sieht er in der Kundenverwaltung und in einer E-Mail an sein Postfach.
Zweck: Bearbeitung Ihrer Anfrage, Beratung und Angebot sowie Kontaktaufnahme per E-Mail, Telefon oder WhatsApp.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Ihre Anfrage). Mit dem Häkchen willigen Sie zusätzlich ausdrücklich ein, dass wir Sie unter der angegebenen Telefonnummer anrufen oder per WhatsApp anschreiben (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 UWG); diese Einwilligung können Sie jederzeit widerrufen. Den Einwilligungstext mit Zeitpunkt speichern wir als Nachweis (Art. 6 Abs. 1 lit. c i. V. m. Art. 7 Abs. 1 DSGVO).
Meta: Haben Sie dem Meta-Pixel zugestimmt, meldet die Seite das Ereignis „Lead“ ohne Ihre Eingaben an Meta (Ziffer 9).
Speicherdauer: Kommt keine Zusammenarbeit zustande, löschen wir Ihre Anfrage sechs Monate nach dem letzten Kontakt. Den Einwilligungsnachweis bewahren wir bis zu drei Jahre nach der letzten Nutzung auf.

12. Telefon, Messenger und E-Mail

Telefon +49 89 6208 4999. Unter dieser Nummer meldet sich unser KI-Telefonassistent – auf Deutsch „Eriva“, auf Russisch „Max“; er stellt sich gleich zu Beginn als künstliche Intelligenz vor. Die Rufnummer stellt Twilio bereit; das Gespräch steuert Vapi mit Spracherkennung durch Deepgram, Sprachausgabe durch ElevenLabs und dem Sprachmodell Claude Haiku von Anthropic. Alle diese Anbieter haben ihren Sitz in den USA. Wir verarbeiten Ihre Rufnummer, den Gesprächsinhalt als Text (Transkript), eine automatische Zusammenfassung, Dauer und Zeitpunkt sowie Angaben, die Sie selbst machen (z. B. E-Mail-Adresse). Eine Tonaufnahme des Gesprächs erstellen wir nicht. Vapi löscht die Gesprächsdaten bei sich nach spätestens 13 Tagen; Transkript und Zusammenfassung bewahren wir in unserer Kundenverwaltung auf. Nach dem Gespräch legen wir einen Kontakt in unserer Kundenverwaltung an. Wünschen Sie es oder dauerte das Gespräch länger, senden wir Ihnen einmalig einen Link zu Eriva per SMS (Absender „Eriva“, über Twilio) oder per E-Mail (Resend).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Ihre Anfrage), im Übrigen Art. 6 Abs. 1 lit. f DSGVO (Beantwortung von Anrufen).
Speicherdauer: Transkripte löschen wir automatisch nach 30 Tagen; Kontaktdaten wie in Ziffer 11.

Instagram, WhatsApp, Telegram. Wenn Sie uns über Instagram (@eriva.de), WhatsApp (+49 89 6208 4999) oder Telegram (@eriva_de_bot) schreiben, antwortet zunächst ein KI-Assistent; der Inhaber kann jederzeit übernehmen. Wir verarbeiten Ihren Profilnamen bzw. Ihre Telefonnummer, Ihre Nachrichten und den Gesprächsverlauf. Nachrichten von Instagram und WhatsApp erreichen uns über den Dienstleister SendPulse, Telegram-Nachrichten direkt. Die Antworten erzeugen dieselben EU-Anbieter wie beim Website-Chat (Ziffer 10: Melious AI GmbH, ersatzweise Google Cloud in der EU). Die Plattformen Meta (Instagram, WhatsApp) und Telegram verarbeiten Ihre Nachrichten zugleich in eigener Verantwortung nach ihren Datenschutzhinweisen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO.
Speicherdauer: Instagram- und WhatsApp-Gespräche löschen wir automatisch zwölf Monate nach der letzten Nachricht, sofern daraus kein Kontakt in unserer Kundenverwaltung entstanden ist; Telegram-Gespräche wie in Ziffer 10.

E-Mail. Unser Postfach hallo@eriva.de betreibt Namecheap, Inc. (USA). Wir verarbeiten Ihre E-Mail-Adresse, Ihren Namen und den Inhalt Ihrer Nachricht, um Ihr Anliegen zu bearbeiten (Art. 6 Abs. 1 lit. b oder f DSGVO), und löschen die Korrespondenz, wenn sie erledigt ist und keine Aufbewahrungspflicht besteht.

13. Links zu sozialen Netzwerken

Unsere Websites enthalten einfache Links zu Instagram, WhatsApp und Telegram, aber keine eingebundenen Plugins. Daten fließen an diese Anbieter erst, wenn Sie einen Link anklicken.

14. Schriftarten

Alle Schriftarten auf eriva.de, in der Web-Anwendung und auf den Seiten der Salons liefern wir von unseren eigenen Servern aus bzw. sind direkt in die Seite eingebettet. Eine Verbindung zu Google oder anderen Schriftanbietern entsteht dabei nicht.

C. Eriva-Plattform für Salons

15. Zugang und Kundenkonto

Daten: Name, E-Mail-Adresse, Telefonnummer, Passwort (nur als verschlüsselter Prüfwert gespeichert), Salonname und -anschrift sowie alle Geschäftsdaten, die Sie hinterlegen (Leistungen, Preise, Öffnungszeiten, Team, Produkte, Texte, Bilder).
Anmeldung: über Supabase Auth; Ihr Anmelde-Token liegt im Speicher Ihres Browsers (Ziffer 8).
Begrüßungs-Chat: Nutzen Sie vor der Anmeldung den kostenlosen Begrüßungs-Chat, begrenzen wir Missbrauch mit einer zufälligen Kennung in Ihrem Browser und einer Prüfung Ihrer IP-Adresse auf unserem Server (Art. 6 Abs. 1 lit. f DSGVO).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Speicherdauer: für die Dauer des Vertrags. Nach Vertragsende stellen wir Ihnen Ihre Daten auf Wunsch zum Export bereit und löschen sie spätestens 90 Tage nach Vertragsende, soweit keine Aufbewahrungspflicht besteht.

16. Vertrag, Abrechnung, Zahlungen

Für den Kauf von Guthaben (Credits) und künftige Abonnements nutzen wir Stripe. Die Zahlungsdaten (Karten- oder Kontodaten) geben Sie direkt bei Stripe ein; wir erhalten nur Name, E-Mail-Adresse, Betrag, Zahlungsstatus und eine Zahlungsreferenz. Für die Abwicklung der Zahlung und ihre eigenen gesetzlichen Pflichten (z. B. Geldwäscheprävention) ist Stripe selbst verantwortlich.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO.
Speicherdauer: Rechnungen und Buchungsbelege acht bzw. zehn Jahre (§ 147 AO, § 257 HGB).

17. Kommunikation mit Salons

Wir kommunizieren mit Ihnen per E-Mail (Versand über Resend, Postfach bei Namecheap), Telefon, SMS (Twilio) und – wenn Sie ihn einrichten – über den persönlichen Eriva-Assistenten in Telegram. Für die Verknüpfung mit Telegram geben Sie einen Code aus Ihrem Konto ein; wir speichern dann Ihre Telegram-Chat-ID. Systemnachrichten (z. B. Hinweise auf neue Buchungen oder Anfragen) senden wir auf dem Kanal, den Sie gewählt haben.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

18. KI-Assistent für Salonbetreiber

In der Web-Anwendung, in Telegram und auf Wunsch per Telefon steht Ihnen ein KI-Assistent zur Verfügung, der Fragen beantwortet und Aufgaben in Ihrem Konto vorbereitet (z. B. Termine eintragen, Ausgaben erfassen, Texte entwerfen).

Daten: Ihre Nachrichten, Sprachnachrichten, Bilder und Dateien sowie die Daten aus Ihrem Eriva-Konto, die der Assistent für Ihre Aufgabe abruft – dazu können auch Daten Ihrer Kundinnen und Kunden gehören (insoweit handeln wir als Ihr Auftragsverarbeiter).
Verarbeitung in der EU: Die Antworten des Assistenten im Chat – auch zu Bildern, die Sie senden – erzeugt das Modell GLM-5.3-Flash bei der Melious AI GmbH (Saarbrücken), bei Störungen Gemini über Google Cloud in der EU-Region. Ebenfalls in der EU laufen: das Umwandeln gesprochener Nachrichten in Text (Modell Whisper bei Melious), das Zusammenfassen älterer Gesprächsteile, kurze Notizen aus abgeschlossenen Gesprächen für das Gedächtnis des Assistenten und die Übersicht über eingegangene Nachrichten. Einen Ausweichweg in die USA gibt es dafür nicht.
Funktionen über Anbieter in den USA: Gesprochene Antworten erzeugen Google, OpenAI oder ElevenLabs. Telefonate führt der Assistent über Twilio und Vapi (Ziffer 12, 31).
Menschliche Kontrolle: Aktionen mit Folgen für Dritte oder mit Kosten (z. B. Nachrichten an Kundinnen und Kunden, Buchungen, Ausgaben) führt der Assistent erst nach Ihrer ausdrücklichen Bestätigung aus. Ihre Bestätigung protokollieren wir (wer, wann, was angezeigt wurde) als Nachweis.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für Daten Ihrer Kundinnen und Kunden Art. 28 DSGVO.
Speicherdauer: Gesprächsverläufe bleiben in Ihrem Konto, bis Sie sie löschen oder der Vertrag endet; Bestätigungsprotokolle bewahren wir bis zum Ablauf der Verjährungsfristen auf (in der Regel drei Jahre).

19. Inhalte erstellen und veröffentlichen

Mit Eriva können Sie Bilder, Videos, Texte und Vertonungen für Ihr Marketing erstellen und auf Wunsch direkt veröffentlichen.

Texte, Strategie, Websites: Marketingtexte, Strategievorschläge und Website-Entwürfe erstellen Sprachmodelle von Anthropic, OpenAI und Google (Gemini API) mit Sitz in den USA. Dafür verwenden wir Ihre Geschäftsangaben, nicht die Daten Ihrer Kundinnen und Kunden.
Bilder und Videos: Von Ihnen hochgeladene Fotos (z. B. Ihrer Arbeiten) bearbeiten Bildmodelle, die wir über fal.ai (USA) nutzen. Eine Beschreibung des Fotos erstellt ein Bildmodell bei der Melious AI GmbH in der EU; den Begleittext dazu formuliert Google (Gemini API). Für rein synthetische Bilder ohne Ihre Fotos nutzen wir auch Pruna AI (München).
Fotos von Personen: Sie dürfen nur Fotos hochladen, an denen Sie die Rechte haben und für die die abgebildeten Personen eingewilligt haben. Darauf weisen wir im Produkt hin.
Kennzeichnung: Mit KI erzeugte oder veränderte Inhalte sind künstlich erzeugt. Wir kennzeichnen sie, soweit technisch möglich, maschinenlesbar und geben Ihnen die Möglichkeit, sie bei der Veröffentlichung sichtbar zu kennzeichnen (Art. 50 KI-Verordnung, Ziffer 30).
Veröffentlichung: Verbinden Sie Ihr Instagram- oder Facebook-Konto, speichern wir die dafür von Meta ausgestellten Zugriffsschlüssel verschlüsselt und veröffentlichen in Ihrem Auftrag; Kennzahlen Ihrer Beiträge rufen wir ab, um sie Ihnen anzuzeigen. Fordert Meta uns zur Löschung von Daten eines Nutzers auf (Data Deletion Callback), bearbeiten wir das automatisch.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Speicherdauer: Hochgeladene Ausgangsfotos löschen wir automatisch nach sieben Tagen, erzeugte Ergebnisse nach 30 Tagen, sofern Sie sie nicht in Ihrer Mediathek speichern; gespeicherte Inhalte bis zur Löschung durch Sie oder bis Vertragsende.

20. Öffentlich zugängliche Unternehmensdaten

Analysen für Salons. Auf Wunsch eines Salons werten wir dessen eigene öffentliche Auftritte aus (Website, Instagram, Facebook, TikTok, Google-Unternehmensprofil) und vergleichen sie mit Mitbewerbern. Öffentliche Daten ruft unser Dienstleister Apify (Prag) ab; ergänzend nutzen wir Programmierschnittstellen von Google (Places, Programmable Search, YouTube, PageSpeed). Die Auswertung übernehmen Sprachmodelle von Anthropic, OpenAI und Google (USA). Dabei können öffentliche Kommentare und Profilnamen Dritter mitverarbeitet werden; wir nutzen sie nur zusammengefasst für die Auswertung und nehmen keinen Kontakt zu diesen Personen auf.

Eigene Marktbeobachtung. Wir erfassen öffentlich zugängliche Angaben zu Beauty-Betrieben in Deutschland (Name, Anschrift, Website, Social-Media-Profil, Bewertungen, Angebot), um den Markt zu verstehen und unser Angebot auszurichten. Quellen sind Google-Unternehmensprofile, Websites und öffentliche Social-Media-Profile. Wir kontaktieren erfasste Betriebe nicht ungefragt per Telefon, E-Mail oder Messenger.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO gegenüber dem beauftragenden Salon; im Übrigen Art. 6 Abs. 1 lit. f DSGVO – unser Interesse an Marktanalyse anhand öffentlich zugänglicher Informationen.
Information Dritter: Eine Einzelbenachrichtigung der betroffenen Personen wäre unverhältnismäßig (Art. 14 Abs. 5 lit. b DSGVO); diese Erklärung dient der öffentlichen Information. Sie können jederzeit widersprechen (Ziffer 33).
Speicherdauer: Rohdaten von Abrufen zwölf Monate; Einträge der Marktbeobachtung löschen wir, wenn sie 24 Monate nicht mehr aktualisiert wurden oder Sie widersprechen.

21. Betrieb, Sicherheit, Datensicherung

Missbrauchsschutz. Zum Schutz der Plattform begrenzen wir Anfragen je IP-Adresse, erkennen automatisierte Zugriffe und protokollieren sicherheitsrelevante Vorgänge (Art. 6 Abs. 1 lit. f DSGVO; Interesse: Sicherheit und Missbrauchsabwehr).

Datensicherung. Einmal täglich sichern wir die Datenbank. Die Sicherung wird vor dem Hochladen mit einem nur uns bekannten Schlüssel verschlüsselt (AES-256-GCM) und bei Backblaze, Inc. (USA) gespeichert, in deren Rechenzentrum in Amsterdam (Region EU Central). Jede Sicherung ist 30 Tage gegen Löschen und Verändern gesperrt; nach 90 Tagen löschen wir sie automatisch. Daten, die wir auf Ihren Wunsch gelöscht haben, können deshalb noch bis zu 90 Tage in Sicherungen enthalten sein; wir nutzen sie nur, um nach einem Ausfall den Betrieb wiederherzustellen. Backblaze kann die Inhalte ohne unseren Schlüssel nicht lesen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO und Art. 32 DSGVO (Verfügbarkeit und Wiederherstellbarkeit).

D. Verarbeitung im Auftrag von Salons, Händlern und Vereinen

Dieser Abschnitt richtet sich an Kundinnen und Kunden unserer Kunden. Er ersetzt nicht die Datenschutzerklärung des jeweiligen Salons, Händlers oder Vereins, sondern erläutert, wie Eriva technisch arbeitet.

22. Grundsatz

Wenn Sie bei einem Salon buchen, in einem Shop bestellen, mit einem Salon chatten oder telefonieren oder Mitglied eines Vereins sind, der Eriva nutzt, ist der Salon, Händler oder Verein Verantwortlicher. Er entscheidet, welche Daten erhoben werden, wofür und wie lange sie gespeichert bleiben. Wir verarbeiten diese Daten als Auftragsverarbeiter nach Art. 28 DSGVO, nur nach seiner Weisung und nicht für eigene Zwecke. Ihre Anfragen und Rechte richten Sie bitte an ihn; schreiben Sie uns, leiten wir Ihr Anliegen unverzüglich weiter.

23. Buchungsseiten

Auf den Buchungsseiten (z. B. eriva.app/book/…) verarbeiten wir im Auftrag des Salons: Name, Telefonnummer und/oder E-Mail-Adresse, gewählte Leistung, Termin, gegebenenfalls Mitarbeiterin oder Mitarbeiter, Wartelisten-Einträge, Ihre Bemerkungen und die Buchungshistorie. Fragt der Salon im Formular weitere Angaben ab (etwa Geburtstag, Geschlecht oder Anschrift), verarbeiten wir auch diese. Bietet der Salon eine Einwilligung in seine Werbenachrichten an und erteilen Sie sie, speichern wir sie mit Zeitpunkt und Textfassung. Ihre Kontaktdaten speichert Ihr Browser nur, wenn Sie „Angaben auf diesem Gerät merken“ anhaken. Bestätigungen, Erinnerungen und Absagen versenden wir im Auftrag des Salons per E-Mail (Resend) oder über Telegram; SMS (Twilio) nur bei Buchungen über den Telefonassistenten des Salons und für Werbenachrichten mit Ihrer Einwilligung. Verlangt ein Salon eine Anzahlung, bezahlen Sie auf der Bezahlseite von Stripe; Stripe ist für die Zahlungsabwicklung selbst verantwortlich, der Salon erhält das Geld über sein Stripe-Konto. Öffnen Sie die Buchungsseite in der Telegram-App, startet sie als Telegram-Mini-App; dann verarbeiten wir zusätzlich Ihren Telegram-Namen und Ihre Telegram-Kennung, damit Sie die Bestätigung dort erhalten; außerhalb von Telegram wird kein Telegram-Skript geladen.

24. Online-Shop

In Shops, die Händler mit Eriva betreiben (unter eriva.app oder einer eigenen Domain), verarbeiten wir im Auftrag des Händlers Ihre Bestellung, Name, Anschrift, E-Mail-Adresse, Telefonnummer, Personalisierungswünsche und den Zahlungsstatus. Die Zahlung läuft über Stripe (eigene Verantwortung). Versendet der Händler über DHL, übermitteln wir Name, Anschrift und – zur Zustellbenachrichtigung – E-Mail-Adresse und Telefonnummer an die DHL Paket GmbH, Bonn. Sendungsverfolgung bieten wir als Link zum jeweiligen Paketdienst an. Bestell- und Rechnungsdaten muss der Händler handels- und steuerrechtlich aufbewahren.

Websites, die Salons mit Eriva erstellen, liefern wir über Vercel aus. Schriftarten und Platzhalterbilder kommen von unseren eigenen Servern. Inhalte Dritter laden erst nach Ihrem Klick: Videos von YouTube (im erweiterten Datenschutzmodus „youtube-nocookie.com“) und Vimeo, Karten von Google Maps sowie Terminkalender von Calendly. Kontaktformulare leiten wir an den Salon weiter. Das Chat-Widget auf Salon-Websites beantwortet ein KI-Assistent über die EU-Anbieter aus Ziffer 10 (Melious AI GmbH, ersatzweise Google Cloud in der EU); nennen Sie dort Kontaktdaten, gibt der Assistent sie an den Salon weiter.

26. Messenger- und Telefonassistenz der Salons

Salons können Anfragen, die Sie per Instagram, WhatsApp, Telegram oder Telefon an sie richten, von einem KI-Assistenten beantworten lassen. Der Assistent gibt sich zu Beginn als KI zu erkennen; der Salon kann jederzeit übernehmen.

Messenger: Nachrichten erreichen uns über Meta (Instagram, ggf. über SendPulse) und Telegram. Die Antworten erzeugen die EU-Anbieter aus Ziffer 10 (Melious AI GmbH, ersatzweise Google Cloud in der EU), ohne Ausweichweg in die USA. Wir verarbeiten Profilname bzw. Telefonnummer, Nachrichten, Gesprächsverlauf und – falls Sie zustimmen – Ihre Einwilligung in Werbenachrichten mit Zeitpunkt und Quelle. Werbenachrichten versendet ein Salon nur mit Ihrer Einwilligung; Sie können jederzeit mit „STOP“ oder gegenüber dem Salon widersprechen.
Telefon: Anrufe beim Salon nimmt ein KI-Telefonassistent über Twilio und Vapi an (Spracherkennung Deepgram, Sprachmodell Anthropic, Sprachausgabe ElevenLabs; alle mit Sitz in den USA). Wir speichern Rufnummer, Transkript, Zusammenfassung und Dauer. Tonaufnahmen des Gesprächs erstellen wir nicht.
Speicherdauer: Instagram- und WhatsApp-Gespräche löschen wir automatisch nach der Frist, die der Salon einstellt, ohne eigene Einstellung zwölf Monate nach der letzten Nachricht; Gespräche, aus denen ein Kundenkontakt beim Salon entstanden ist, bleiben erhalten, bis der Salon sie löscht. Telegram- und Widget-Gespräche speichern wir, bis der Salon sie löscht, längstens bis Vertragsende. Telefon-Transkripte löschen wir automatisch nach der vom Salon gewählten Frist – Voreinstellung 30 Tage, höchstens 90 Tage.

27. Statistik und Meta-Werbung der Salons

Auf Buchungsseiten und Salon-Websites fragt ein Einwilligungsfenster, bevor zusätzliche Technik geladen wird:

Statistik (Einwilligung nach § 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO): Eriva misst im Auftrag des Salons, wie Besucherinnen und Besucher auf die Seite kommen und bis zur Buchung gelangen (Herkunft, Kampagnenparameter, aufgerufene Seiten, Klicks). Dazu speichert Ihr Browser eine pseudonyme Kennung (Ziffer 8). Ohne Ihre Zustimmung findet keine Statistik statt.
Marketing – Meta (Einwilligung): Hat der Salon das Meta-Pixel eingerichtet, laden wir es erst nach Ihrer Zustimmung. Zusätzlich meldet unser Server im Auftrag des Salons Ereignisse wie „Termin gebucht“ oder „Kauf“ an Meta (Conversions API): mit Ihrer E-Mail-Adresse und Telefonnummer nur als Prüfwert (SHA-256-Hash), IP-Adresse, Browser-Angaben, _fbp/_fbc sowie Betrag und Währung. Den Namen der gebuchten Leistung übermitteln wir nicht. Für Erhebung und Übermittlung sind der Salon und Meta gemeinsam verantwortlich (Art. 26 DSGVO). Die für die Meldung benötigten Angaben speichern wir verschlüsselt und löschen sie automatisch nach höchstens 180 Tagen.

Ihre Wahl können Sie jederzeit über „Cookie-Einstellungen“ (Salon-Website) bzw. „Datenschutzeinstellungen“ (Buchungsseite) im Seitenfuß ändern.

28. Eriva Training für Vereine

Mit Eriva Training verwalten Sportvereine und -schulen Mitglieder, Trainingsgruppen, Anwesenheiten, Beiträge und Mitteilungen. Verantwortlich ist der Verein. Wir verarbeiten in seinem Auftrag Daten der Mitglieder – häufig Minderjähriger – sowie ihrer Erziehungsberechtigten (Name, Kontaktdaten, Gruppenzugehörigkeit, Anwesenheit, Zahlungsstatus, Mitteilungen). Mitteilungen versenden wir per E-Mail (Resend) oder Telegram, Erinnerungen an die Vereinsleitung auch per Telefon (Twilio); Beiträge können über Stripe bezahlt werden. Auf dem Gerät gespeicherte Daten der Trainings-App werden beim Abmelden gelöscht.

29. Unterauftragsverarbeiter und Vertragsende

Für die in diesem Abschnitt beschriebenen Leistungen setzen wir die in Ziffer 31 als „AV“ gekennzeichneten Dienstleister als Unterauftragsverarbeiter ein. Eine aktuelle Liste stellen wir unseren Kunden im Vertrag zur Auftragsverarbeitung bereit und informieren sie vorab über Änderungen. Endet der Vertrag mit einem Salon, Händler oder Verein, stellen wir die Daten zum Export bereit und löschen sie spätestens 90 Tage danach, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

E. Übergreifendes

30. Einsatz Künstlicher Intelligenz

Wo wir KI einsetzen: Website-Chat (Ziffer 10), Telefonassistent und Messenger von Eriva (Ziffer 12), KI-Assistent für Salonbetreiber (Ziffer 18), Erstellung von Inhalten (Ziffer 19), Auswertungen (Ziffer 20) und – im Auftrag der Salons – Chat-Widget, Messenger- und Telefonassistenz (Ziffern 25, 26).

Transparenz nach der KI-Verordnung. Unsere Chat- und Telefonassistenten geben sich zu Beginn jedes Gesprächs als KI zu erkennen (Art. 50 Abs. 1 der Verordnung (EU) 2024/1689). Mit KI erzeugte Bilder, Videos, Tonaufnahmen und Texte kennzeichnen wir nach Art. 50 Abs. 2, soweit technisch möglich, maschinenlesbar; Salons können sie bei der Veröffentlichung zusätzlich sichtbar kennzeichnen. Die von uns eingesetzten KI-Systeme sind keine Hochrisiko-Systeme im Sinne der KI-Verordnung. Wir betreiben keine eigenen KI-Modelle.

Wohin Ihre Daten gehen. Eine Pseudonymisierung findet vor der Übermittlung an KI-Anbieter nicht statt; deshalb trennen wir nach Art der Daten:

Funktion	Anbieter	Ort der Verarbeitung
Antworten in Chats und Messengern (Website, Chat-Widget, Instagram, WhatsApp, Telegram); Chat des KI-Assistenten für Salonbetreiber, auch zu gesendeten Bildern; Umwandlung von Sprachnachrichten in Text; Gesprächsnotizen des KI-Assistenten; Zusammenfassungen älterer Gesprächsteile und eingegangener Nachrichten; Beschreibung hochgeladener Fotos; Zusatzfunktionen, die Kundendaten auswerten können: Formulierungshilfe für Antworten an Kundinnen und Kunden, Auswertung von Kundenfeedback, Hinweise auf mögliche Terminausfälle, Hinweise auf besondere Ereignisse, Produktempfehlungen nach dem Besuch	Melious AI GmbH (Modelle GLM-5.3-Flash, Whisper und Bildmodelle); ersatzweise Google Cloud (Gemini)	EU / EWR; kein Ausweichweg in die USA
Abgleich von Fragen mit Wissenssammlungen (Embeddings), sofern aktiviert	Google Cloud (Modell „gemini-embedding-001“)	EU
KI-Telefonassistenten (Eriva-Rufnummer, Telefonassistenz der Salons, Telefonate des KI-Assistenten)	Vapi, Deepgram, ElevenLabs, Anthropic; Rufnummern Twilio	USA
Gesprochene Antworten des KI-Assistenten (Sprachausgabe)	Google (Gemini API), OpenAI, ElevenLabs	USA
Marketingtexte, Strategie, Websites, Auswertung öffentlicher Daten, Werbeassistent für Meta-Anzeigen	Anthropic, OpenAI, Google (Gemini API); für den Werbeassistenten OpenRouter mit freigegebenen Betreibern	USA
Bilder und Videos	fal.ai (mit Bildmodellen u. a. von OpenAI), Google (Gemini API); Pruna AI für synthetische Bilder	USA; Pruna: Deutschland

Die Übermittlung in die USA stützen wir auf Ziffer 5; die einzelnen Anbieter nennt Ziffer 31.

Keine Nutzung zum Training. Wir nutzen alle KI-Anbieter über ihre kostenpflichtigen Geschäftsschnittstellen. Melious, Google Cloud, OpenAI, Anthropic und Google (Gemini API im kostenpflichtigen Tarif) verwenden die übermittelten Inhalte nach ihren Vertragsbedingungen nicht zum Training ihrer Modelle.

Grenzen. KI-Antworten können unvollständig oder falsch sein. Verbindlich sind Termine, Preise und Zusagen erst, wenn der Salon bzw. wir sie bestätigen. Bitte geben Sie in Chats und Gesprächen keine Gesundheitsdaten oder andere sensible Angaben preis; nennen Sie sie doch, nutzen wir sie nur zur Beantwortung Ihrer Anfrage und speichern sie nicht gesondert.

31. Empfänger im Überblick

„AV“ = Auftragsverarbeiter (Art. 28 DSGVO), mit dem ein Vertrag zur Auftragsverarbeitung besteht; „eigene Verantwortung“ = der Empfänger entscheidet selbst über die Verarbeitung; „DPF“ = Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework; „SCC“ = Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914). Grundsätze in Ziffer 5.

Empfänger (Sitz)	Wofür wir ihn einsetzen	Rolle	Drittland und Garantie
Vercel Inc. (USA)	Hosting der Websites und der Web-Anwendung, Serverfunktionen in Frankfurt am Main, Protokolle (1 Tag)	AV	USA: DPF, ergänzend SCC
Supabase Pte. Ltd. (Singapur)	Datenbank, Anmeldung, Dateispeicher; Speicherort der Daten: Irland (AWS, Region eu-west-1); technische Protokolle der Plattform 7 Tage	AV	Singapur, USA (Unterauftragnehmer, u. a. Amazon Web Services, Google): SCC
Backblaze, Inc. (USA)	verschlüsselte tägliche Datensicherung, Speicherort Amsterdam (EU), Aufbewahrung 90 Tage	AV	Speicherung in der EU; für etwaige Zugriffe aus den USA: SCC
Melious AI GmbH (Saarbrücken)	KI-Antworten in Chats und Messengern, Chat des KI-Assistenten, Spracherkennung, Bildbeschreibungen, Gesprächsnotizen, Zusammenfassungen und Auswertungen mit Kundendaten (Ziffer 30); Verarbeitung nur in der EU/im EWR, Unterauftragnehmer in der EU; Nachrichteninhalte werden nicht protokolliert	AV	–
Google Cloud EMEA Ltd. (Irland)	Ersatzmodell (Gemini) für die vorgenannten Funktionen und Embeddings, Region EU	AV	Verarbeitung in der EU; für etwaige Zugriffe der Google LLC (USA): DPF, ergänzend SCC
Google LLC (USA) / Google Ireland Ltd.	Gemini API (Texte, Bildbeschreibungen, Sprachausgabe, Analysen), Places-, Such-, YouTube- und PageSpeed-Schnittstellen; Missbrauchsprotokolle der Gemini API 55 Tage	AV	USA: DPF, ergänzend SCC
Anthropic Ireland, Ltd. (Irland) / Anthropic PBC (USA)	Sprachmodell für Telefonassistenten, Texte und Analysen	AV	USA: SCC
OpenAI Ireland Ltd. (Irland) / OpenAI, L.L.C. (USA)	Sprachausgabe, Texte, Analysen, Bildmodelle, Untertitel für Marketingvideos; Missbrauchsprotokolle bis 30 Tage	AV	USA: SCC
OpenRouter, Inc. (USA)	nur Werbeassistent für Meta-Anzeigen; Weiterleitung an freigegebene Modellbetreiber (Relace, Deep Infra, CoreWeave – USA); keine Speicherung der Inhalte bei OpenRouter	AV	USA: SCC
Features & Labels, Inc. – „fal“ (USA)	Bearbeitung und Erzeugung von Bildern und Videos	AV	USA: SCC
Pruna AI GmbH (München)	Erzeugung synthetischer Bilder ohne Personenbezug	AV	–
Apify Technologies s.r.o. (Prag)	Abruf öffentlich zugänglicher Web- und Social-Media-Daten	AV	–
Twilio Ireland Ltd. (Irland) / Twilio Inc. (USA)	Rufnummern, Weiterleitung von Anrufen, SMS	AV	USA: DPF, ergänzend SCC
Vapi Inc. (USA)	Steuerung der KI-Telefonate, Transkripte und Protokolle; bei Vapi gelöscht nach spätestens 13 Tagen	AV	USA: SCC
Deepgram, Inc. (USA)	Spracherkennung in KI-Telefonaten (über Vapi)	Unterauftragsverarbeiter	USA: SCC
Eleven Labs Inc. (USA)	Sprachausgabe in KI-Telefonaten und Sprachnachrichten	AV / Unterauftragsverarbeiter	USA: DPF, ergänzend SCC
Resend (Plus Five Five, Inc., USA)	Versand von E-Mails; Speicherung von Nachrichten und Versandprotokollen 30 Tage in den USA	AV	USA: DPF, ergänzend SCC
Namecheap, Inc. (USA)	Postfach hallo@eriva.de (Server in den USA)	AV	USA: SCC
SendPulse Inc. (USA)	Anbindung von Instagram und WhatsApp; Server in der EU und den USA	AV	USA: SCC
Meta Platforms Ireland Ltd. (Irland)	Meta-Pixel auf eriva.de (gemeinsame Verantwortung, Ziffer 9); Instagram und Facebook als Plattform (eigene Verantwortung); Veröffentlichung, Nachrichten und Conversions API im Auftrag der Salons	gemeinsam / eigene Verantwortung / AV-Funktion	USA (Meta Platforms, Inc.): DPF
WhatsApp Ireland Ltd. (Irland)	WhatsApp-Nachrichten	eigene Verantwortung	USA (WhatsApp LLC): DPF
Telegram Messenger Inc. (Britische Jungferninseln)	Telegram-Nachrichten und -Bots; Server für Nutzer im EWR in den Niederlanden	eigene Verantwortung (kein AV-Vertrag angeboten)	Art. 49 Abs. 1 lit. b DSGVO (von Ihnen gewählter Kanal)
Stripe Payments Europe, Ltd. (Irland)	Zahlungsabwicklung (Guthaben, Anzahlungen, Shop, Vereinsbeiträge)	eigene Verantwortung	USA (Stripe, LLC): DPF, ergänzend SCC
DHL Paket GmbH (Bonn)	Paketversand, nur wenn der Händler DHL nutzt	eigene Verantwortung	–

Darüber hinaus übermitteln wir Daten an Behörden, Gerichte oder Berater (Steuerberatung, Rechtsberatung) nur, wenn wir dazu gesetzlich verpflichtet sind oder es zur Durchsetzung oder Abwehr von Rechtsansprüchen erforderlich ist (Art. 6 Abs. 1 lit. c bzw. f DSGVO).

32. Ihre Rechte

Ihnen stehen gegenüber dem jeweils Verantwortlichen – soweit die gesetzlichen Voraussetzungen vorliegen – folgende Rechte zu:

Auskunft über die zu Ihrer Person gespeicherten Daten und eine Kopie dieser Daten (Art. 15 DSGVO);
Berichtigung unrichtiger und Vervollständigung unvollständiger Daten (Art. 16 DSGVO);
Löschung (Art. 17 DSGVO), soweit keine Aufbewahrungspflicht besteht und wir die Daten nicht zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigen;
Einschränkung der Verarbeitung (Art. 18 DSGVO);
Datenübertragbarkeit der von Ihnen bereitgestellten Daten in einem gängigen, maschinenlesbaren Format (Art. 20 DSGVO);
Widerruf einer Einwilligung jederzeit mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO); die bis dahin erfolgte Verarbeitung bleibt rechtmäßig. Cookie-Einwilligungen widerrufen Sie über „Cookie-Einstellungen“ bzw. auf Buchungsseiten „Datenschutzeinstellungen“ im Seitenfuß, alle anderen formlos an hallo@eriva.de.

Wenden Sie sich dazu an hallo@eriva.de. Wir antworten innerhalb eines Monats (Art. 12 Abs. 3 DSGVO). In begründeten Zweifelsfällen können wir einen Nachweis Ihrer Identität verlangen.

33. Widerspruchsrecht nach Art. 21 DSGVO

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten Widerspruch einzulegen, die wir auf Art. 6 Abs. 1 lit. f DSGVO stützen; das gilt auch für ein darauf gestütztes Profiling. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Verarbeiten wir Ihre Daten für Direktwerbung, können Sie dem jederzeit ohne Angabe von Gründen widersprechen; wir nutzen Ihre Daten dann nicht mehr für diesen Zweck.

Ein formloser Widerspruch an hallo@eriva.de genügt.

34. Beschwerderecht

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des mutmaßlichen Verstoßes (Art. 77 DSGVO). Für uns zuständig ist:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA) Promenade 18, 91522 Ansbach Telefon +49 981 180093-0 · poststelle@lda.bayern.de

35. Pflicht zur Bereitstellung

Sie sind weder gesetzlich noch vertraglich verpflichtet, uns Daten bereitzustellen. Ohne die als Pflichtfeld gekennzeichneten Angaben können wir Ihre Anfrage jedoch nicht bearbeiten, keinen Zugang einrichten und keinen Vertrag durchführen. Ohne die technischen Verbindungsdaten (Ziffer 7) lässt sich die Website nicht anzeigen.

36. Automatisierte Entscheidungen

Wir treffen keine Entscheidungen, die ausschließlich auf automatisierter Verarbeitung einschließlich Profiling beruhen und Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen (Art. 22 DSGVO). Unsere KI-Assistenten beantworten Fragen und bereiten Vorgänge vor; über Verträge und – bei Salons – über Termine, Preise und Ausnahmen entscheiden Menschen. Hinweise auf mögliche Terminausfälle sind eine Einschätzung für den Salon und führen nicht automatisch zu einer Ablehnung oder Anzahlungspflicht.

37. Datensicherheit

Wir schützen Daten durch technische und organisatorische Maßnahmen nach Art. 32 DSGVO, unter anderem: verschlüsselte Übertragung (TLS, HSTS); Trennung der Daten verschiedener Kunden auf Datenbankebene (Row Level Security); verschlüsselte Speicherung von Zugriffsschlüsseln für soziale Netzwerke; Geheimnisse nur auf dem Server; verschlüsselte, gegen Löschen gesperrte tägliche Datensicherung (Ziffer 21); Zugriff auf Produktionssysteme nur für berechtigte Personen; Begrenzung von Anfragen und Missbrauchserkennung an öffentlichen Formularen; ausdrückliche Bestätigung folgenreicher KI-Aktionen durch einen Menschen. Öffentlich gestellte Medien (z. B. veröffentlichte Bilder oder Logos) sind über ihre Adresse abrufbar.

38. Minderjährige

Unsere eigenen Angebote richten sich an Unternehmerinnen und Unternehmer. Bitte senden Sie uns keine Daten von Personen unter 16 Jahren. Ob und wie Salons Buchungen Minderjähriger annehmen oder Vereine Daten von Kindern verarbeiten, entscheiden diese als Verantwortliche; Vereine holen dafür, wo nötig, die Zustimmung der Erziehungsberechtigten ein (Art. 8 DSGVO).

39. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich unsere Verarbeitungen, die eingesetzten Dienstleister oder die Rechtslage ändern. Maßgeblich ist die jeweils hier veröffentlichte Fassung; das Datum steht oben unter „Stand“.