Stand: 11.10.2026
Diese Erklärung gilt für diese Website (bookargent.com) und für die BookArgent-Anwendung (Dashboard und Buchungsseiten der Betriebe). Auf dieser Website selbst finden nur die Verarbeitungen statt, die in den Abschnitten 2 bis 5 ausdrücklich für diese Website beschrieben sind; von den Dienstleistern in Abschnitt 13 nutzt sie nur Vercel, Resend und, nur mit Ihrer Einwilligung, Google Analytics und das Meta-Pixel (Abschnitt 2); dazu kommen die in Abschnitt 5 genannten E-Mail-Anbieter. Die Abschnitte 6 bis 12 und 14 betreffen ausschließlich die Anwendung.
EJS-Solution — Elias Philip Strohbach und Jona Storch GbR
Fechenheimer Weg 35, 63477 Maintal
Telefon: 0179 4554925
E-Mail: ejs-solution@outlook.de
Einwilligung. Beim ersten Besuch fragen wir Sie in einem Hinweis, ob wir auf dieser Website Google Analytics und das Meta-Pixel einsetzen dürfen. Ohne Ihre Zustimmung lädt diese Website keinen dieser Dienste, setzt keine Cookies und sendet keine Daten an Google oder Meta. Ihre Auswahl speichern wir mit Datum im localStorage Ihres Browsers, damit der Hinweis nicht bei jedem Besuch erneut erscheint; diese Angabe verlässt Ihren Browser nicht (§ 25 Abs. 2 Nr. 2 TDDDG). Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft ändern oder widerrufen, über „Cookie-Einstellungen“ unten auf der Seite oder hier: . Beim Widerruf löschen wir die Cookies der Dienste in Ihrem Browser.
Google Analytics. Mit Ihrer Einwilligung nutzen wir Google Analytics 4, einen Dienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google“). Damit sehen wir, wie Besucher diese Website nutzen und woher sie kommen, etwa von einer Suchmaschine, von Instagram oder über einen Flyer. Google Analytics setzt dafür Cookies (_ga und _ga_ mit einer Kennung, Speicherdauer bis zu zwei Jahren) und erfasst aufgerufene Seiten, Verweildauer, die Herkunft des Besuchs, Geräte- und Browserangaben, den ungefähren Standort (bis auf Stadtebene), Scrollen, Klicks auf Links zu anderen Websites und Interaktionen mit Formularen, jeweils ohne deren Inhalte, sowie zwei eigene Ereignisse: den Klick auf eine Demo und das Absenden des Wartelisten-Formulars (Abschnitt 5), ebenfalls ohne Inhalte. Ihre IP-Adresse wird an Google übermittelt, dort nur zur Bestimmung des ungefähren Standorts verwendet und nach Angaben von Google nicht gespeichert. Google-Signale und Werbefunktionen von Google nutzen wir nicht. Google verarbeitet die Daten in unserem Auftrag auf Grundlage seiner Datenverarbeitungsbedingungen (Art. 28 DSGVO); eine Übermittlung an Google LLC in den USA ist möglich, Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert. Die Daten werden spätestens 14 Monate nach Ihrem letzten Besuch gelöscht. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG).
Meta-Pixel. Mit Ihrer Einwilligung nutzen wir das Meta-Pixel der Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland („Meta“). Damit messen wir, ob Besucher nach einer unserer Anzeigen bei Facebook oder Instagram eine Demo öffnen oder sich auf die Warteliste setzen, und wir können Besuchern dieser Website später bei Facebook und Instagram Anzeigen zeigen (Retargeting) sowie ähnliche Zielgruppen bilden. Das Pixel setzt Cookies (_fbp, nach einem Klick auf eine Anzeige auch _fbc, Speicherdauer 90 Tage), kann eigene Cookies von Meta unter facebook.com auslesen und übermittelt Ihre IP-Adresse, Geräte- und Browserangaben, die aufgerufene Seite, die Herkunftsseite und die genannten Ereignisse an Meta, ohne Inhalte des Wartelisten-Formulars. Automatische Ereignisse und den automatischen Abgleich von Formularfeldern haben wir abgeschaltet. Sind Sie bei Facebook oder Instagram angemeldet, kann Meta den Besuch Ihrem Konto zuordnen.
Für die Erhebung und Übermittlung dieser Daten sind wir mit Meta gemeinsam verantwortlich (Art. 26 DSGVO); die Vereinbarung dazu ist der Nachtrag für Verantwortliche von Meta. Meta ist danach für die Information über die gemeinsame Verarbeitung und für die Erfüllung Ihrer Rechte daran zuständig; Sie können Ihre Rechte aber auch bei uns geltend machen. Für Messberichte und die Bildung unserer Zielgruppen verarbeitet Meta die Daten anschließend in unserem Auftrag (Art. 28 DSGVO, Datenverarbeitungsbedingungen von Meta); Zielgruppen aus Besuchen dieser Website bestehen höchstens 180 Tage. Für eigene Zwecke, etwa die Personalisierung von Anzeigen, ist Meta allein verantwortlich, siehe die Datenschutzrichtlinie von Meta. Eine Übermittlung an Meta Platforms, Inc. in den USA ist möglich; Meta Platforms, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). In Ihren Facebook- und Instagram-Einstellungen können Sie Anzeigen auf Grundlage Ihrer Aktivitäten außerhalb von Meta zusätzlich abschalten.
In der BookArgent-Anwendung setzen wir ausschließlich technisch notwendige Cookies ein, die für den Betrieb der Plattform erforderlich sind. Dazu speichern wir Ihre Sitzungsdaten (Session-Token) in einem sicheren HTTP-Cookie. Es werden keine Tracking- oder Analyse-Cookies ohne Ihre Einwilligung gesetzt.
Darüber hinaus nutzen wir dort localStorage im Browser für Benutzereinstellungen (z. B. Dark/Light-Modus) und als Zwischenspeicher für Ihr Profilbild. Diese Daten verlassen Ihren Browser nicht. Profilbilder und Logos, die Sie hochladen, speichern wir dagegen in Supabase (Abschnitt 6); sie sind über ihre Adresse öffentlich abrufbar, damit sie etwa in E-Mails angezeigt werden können.
Tritt im Dashboard ein technischer Fehler auf (Abschnitt 3), legt der Browser dessen Kennung mit dem Zeitpunkt im Sitzungsspeicher (sessionStorage) ab, damit das Supportformular sie 30 Minuten lang zum Mitschicken anbieten kann (Abschnitt 5). Der Sitzungsspeicher wird geleert, sobald Sie den Tab schließen.
Diese Website wird über Vercel Inc. (340 S Lemon Ave #4133, Walnut, CA 91789, USA) bereitgestellt. Die Verarbeitung erfolgt auf Servern in der EU (Frankfurt, Deutschland). Vercel ist nach dem EU-US Data Privacy Framework zertifiziert, sodass ein angemessenes Datenschutzniveau gewährleistet ist.
Beim Aufruf dieser Website und der BookArgent-Anwendung verarbeitet unser Hosting-Anbieter Vercel automatisch Zugriffsdaten in Server-Protokollen: IP-Adresse, Datum/Uhrzeit, aufgerufene Seite, Browsertyp. Die IP-Adresse wird dabei nicht gekürzt. Bei der Paketwahl in der Anwendung schreiben wir sie zusammen mit der Kennung des Betriebs zusätzlich in unser Anwendungsprotokoll. Wir nutzen diese Daten ausschließlich zur Sicherstellung des Betriebs und zur Fehlersuche. Vercel löscht die Protokolle spätestens nach 30 Tagen; wir selbst können sie nur für kurze Zeit abrufen. Zum Schutz vor Missbrauch dient die IP-Adresse in der Anwendung außerdem kurzzeitig als Zählerschlüssel bei Upstash (Abschnitt 13); diese Schlüssel verfallen nach spätestens rund zwei Stunden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb).
Tritt im Dashboard eines Betriebs ein technischer Fehler auf, erfassen wir ihn automatisch, um ihn beheben zu können: die betroffene Seite ohne Such- und Zugangsparameter, die Fehlermeldung mit dem technischen Ablauf, die zuletzt aufgerufenen Seiten und Schnittstellen der Anwendung, Browser mit Hauptversion und Betriebssystem, Zeitpunkt, Kennung des Betriebs und Softwarestand. Fehler auf unseren Servern erfassen wir ebenso; entstehen sie beim Aufruf einer Buchungsseite, speichern wir nur Seite, Fehlermeldung mit technischem Ablauf, Zeitpunkt, Softwarestand und den betroffenen Betrieb, Browser mit Hauptversion und Betriebssystem nur, wenn dabei jemand mit dem Konto eines Betriebs angemeldet ist. IP-Adressen, Formulareingaben und Inhalte von Terminen, Kundenkartei oder Nachrichten erfasst die Fehlererfassung nicht; E-Mail-Adressen, Telefonnummern, längere Zahlenfolgen und Zugangsschlüssel werden vor dem Speichern automatisch unkenntlich gemacht. Die Fehlerberichte liegen in unserer Datenbank bei Supabase (Abschnitt 6), sind nur für uns einsehbar und werden 90 Tage nach dem letzten Auftreten des Fehlers gelöscht. Zur Fehlersuche mit KI-Werkzeugen geben wir einzelne Berichte nur nochmals geschwärzt weiter; der Betrieb erscheint darin nur als technische Kennung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am fehlerfreien und sicheren Betrieb).
Auf dieser Website und in der BookArgent-Anwendung verwenden wir die Schriftarten „Geist“ und „Schibsted Grotesk“ über die Next.js Font Optimization. Die Schriftdateien werden beim Build-Prozess heruntergeladen und anschließend lokal von unserem Server ausgeliefert. Es werden keine Anfragen an externe Server (z. B. Google Fonts) gestellt.
Wenn Sie uns per E-Mail kontaktieren, speichern wir Ihre Angaben (Name, E-Mail-Adresse, Nachrichteninhalt) zur Bearbeitung Ihrer Anfrage. Die Daten werden ausschließlich für die Kommunikation mit Ihnen genutzt. Weitergegeben werden sie nur an unsere E-Mail-Anbieter: Unser Postfach ejs-solution@outlook.de betreibt Microsoft (Outlook.com), und E-Mails an kontakt@bookargent.com leitet unser Domain-Anbieter Porkbun LLC über seine Server in den USA weiter. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).
Wartelisten-Formular. Über „Platz sichern“ können Sie sich auf dieser Website auf unsere Warteliste setzen. Abgefragt werden Ihr Name, der Name Ihres Studios, Ihre WhatsApp-Nummer und welches Paket Sie interessiert (oder ob Sie erst mit uns sprechen möchten). Diese Angaben schicken wir über unseren E-Mail-Dienst Resend (Abschnitt 13) als E-Mail an unser eigenes Postfach; in einer Datenbank speichern wir sie nicht. Wir verwenden sie ausschließlich, um uns persönlich bei Ihnen zu melden, etwa per WhatsApp unter der angegebenen Nummer; für diese Nachrichten gelten zusätzlich die Datenschutzbestimmungen von WhatsApp. Schlägt der Versand der E-Mail fehl, schreiben wir die Angaben mit Zeitpunkt in das Server-Protokoll bei Vercel, damit die Anfrage nicht verloren geht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).
Supportanfragen. Betriebe können uns aus BookArgent heraus schreiben (Support). Wir speichern dazu die Anfrage mit Kategorie, Betreff und Nachrichtenverlauf, das absendende Konto mit seiner E-Mail-Adresse, den Betrieb sowie technische Angaben (die Seite, von der aus geschrieben wurde, den Softwarestand und gegebenenfalls die Kennung eines zuvor aufgetretenen Fehlers) in unserer Datenbank bei Supabase in Frankfurt (Abschnitt 6). Über neue Anfragen und Nachrichten werden wir per E-Mail benachrichtigt, bei vielen Nachrichten eines Betriebs kurz hintereinander nicht über jede einzelne; eine solche E-Mail nennt nur die Nummer der Anfrage, den Namen des Betriebs, die Kategorie und ob die Anfrage neu, wieder geöffnet oder um eine Nachricht ergänzt ist, nicht Betreff oder Text, und geht über Resend an unser Postfach bei Microsoft (Outlook.com). Unsere Antworten schicken wir zusätzlich per E-Mail über Resend an die Adresse des Kontos, das geschrieben hat (Abschnitt 13). Wir löschen Anfragen zwölf Monate nach ihrer Erledigung und die eines Betriebs mit dem nächsten täglichen Löschlauf nach der Löschung seiner Daten; Anfragen zur Abrechnung bewahren wir als Geschäftsbriefe sechs Jahre auf (§ 257 HGB, § 147 AO), gerechnet ab dem Ende des Jahres der letzten Nachricht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für Konten von Beschäftigten eines Betriebs Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Betreuung unserer Kunden), für die Aufbewahrung Art. 6 Abs. 1 lit. c DSGVO.
Termindaten, Kundendaten und Mitarbeiterdaten werden in Supabase (Supabase Inc.) gespeichert. Das Hosting erfolgt in einem Rechenzentrum in der Europäischen Union (Frankfurt am Main, AWS eu-central-1). Die in Supabase gespeicherten personenbezogenen Daten verbleiben in der EU; eine Speicherung dieser Daten in den USA findet nicht statt. Mit dem Anbieter besteht ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO.
Gespeicherte Daten: Kundennamen, Telefonnummern, E-Mail-Adressen, gebuchte Dienstleistungen, Termine, Zahlungsbeträge. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung / Terminverwaltung).
Die Verknüpfung eines Google-Kontos ist freiwillig, standardmäßig abgeschaltet und jederzeit widerruflich. Ohne sie ist BookArgent vollständig nutzbar. Wir fragen genau drei Berechtigungen ab:
Bei dieser Verknüpfung findet kein Zugriff auf das Google-Profil statt; zur Anmeldung mit Google siehe Abschnitt 10. Enthält das Paket das Postfach, lesen wir beim Verknüpfen über die Berechtigung gmail.readonly die Adresse des verknüpften Postfachs und speichern sie, damit unter „Integrationen“ zu sehen ist, welches Postfach verbunden ist; beim Trennen wird sie gelöscht. Die Verknüpfung erfolgt über OAuth 2.0. Dabei wird ein Zugangsschlüssel (Refresh-Token) bei uns gespeichert — Ihr Google-Passwort erhalten wir zu keinem Zeitpunkt. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).
Eine Ausnahme beim Versand: Fordern Sie ein neues Passwort an und lässt sich die Nachricht nicht über unseren eigenen Versanddienst zustellen, verschicken wir sie über Ihr verbundenes Postfach — andernfalls kämen Sie nicht mehr in Ihr Konto.
Widerruf. Über „Google-Konto trennen“ in den Einstellungen widerrufen wir die Freigabe bei Google und löschen die gespeicherten Zugangsschlüssel. Der Zugriff lässt sich zusätzlich jederzeit direkt im Google-Konto unter myaccount.google.com/permissions entziehen.
Eingeschränkte Verwendung (Limited Use). Die Verwendung von Informationen, die BookArgent über Google-Programmierschnittstellen erhält, richtet sich nach der Google API Services User Data Policy einschließlich der Anforderungen zur eingeschränkten Verwendung. Wir verwenden diese Daten ausschließlich für die in dieser Erklärung beschriebenen, für Sie sichtbaren Funktionen. Wir geben sie nicht zu Werbezwecken weiter und verkaufen sie nicht. Menschen lesen sie nur, wenn Sie ausdrücklich zustimmen, wenn es zur Behebung einer Störung oder aus Sicherheitsgründen nötig ist oder wenn das Gesetz es verlangt.
Kein Training von KI-Modellen. Daten aus Gmail und Google Kalender verwenden wir nicht zur Entwicklung, Verbesserung oder zum Training verallgemeinerter KI- oder ML-Modelle — weder selbst noch durch die von uns eingesetzten Dienstleister.
Vera formuliert Antwortvorschläge. Sie beantwortet nichts von sich aus und legt keine Termine an: Der Vorschlag erscheint im Dashboard, kann geändert werden, und ob und wann er abgeschickt wird, entscheidet ein Mensch. Verarbeitet werden dabei Inhalte aus dem verbundenen Postfach — Absenderadresse, Betreff und Nachrichtentext.
Drei Vorgänge übermitteln Inhalte an Anthropic:
Empfänger ist Anthropic PBC (Modell „Claude“, 548 Market St, San Francisco, CA, USA). Es handelt sich um eine Übermittlung in ein Drittland (USA).
Die Übermittlung wird durch einen Auftragsverarbeitungsvertrag mit Anthropic sowie geeignete Garantien (EU-Standardvertragsklauseln bzw. EU-US Data Privacy Framework) abgesichert. Die Inhalte werden ausschließlich zur Erbringung der jeweiligen Funktion verarbeitet und vertraglich nicht zu Trainingszwecken genutzt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung/-erfüllung) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an effizienter Kundenkommunikation).
Ergebnisse der Dringlichkeitsprüfung speichern wir für 30 Tage, um dieselbe Nachricht nicht mehrfach zu prüfen. Dabei werden Absendername, Betreff und ein kurzer Auszug der Nachricht gespeichert.
E-Mail-Antworten, die zu mindestens der Hälfte aus einem höchstens 24 Stunden alten Vorschlag von Vera bestehen, tragen einen entsprechenden Hinweis. Eine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO findet nicht statt.
Preisliste aus einem Foto. Außerhalb von Vera nutzen wir Anthropic für eine weitere Funktion: Bei der Einrichtung kann ein Betrieb ein Foto seiner Preisliste hochladen. Das Bild wird im Browser verkleinert und erst nach seiner Auswahl an Anthropic übermittelt (Empfänger und Garantien wie oben), um daraus Leistungen, Preise und Dauern auszulesen. Wir speichern das Bild nicht. Das Ergebnis ist ein Vorschlag: Online geht nur, was der Betrieb prüft und mit der Freischaltung bestätigt. Auf das Foto gehört nur die Preisliste, keine Personen und keine Kundendaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
BookArgent ist eine Software für Terminverwaltung und Kundenkommunikation. Nutzer des Dienstes sind gewerbliche Betreiber von Salons und Studios. Für die Verarbeitung der Daten ihrer eigenen Kundinnen und Kunden ist der jeweilige Betreiber datenschutzrechtlich Verantwortlicher; wir werden als Auftragsverarbeiter nach Art. 28 DSGVO tätig. Grundlage ist der Auftragsverarbeitungsvertrag, den wir mit jedem Betreiber vor Aufnahme der Verarbeitung schließen.
Wir verarbeiten in diesem Rahmen:
Für Supportanfragen, bei Störungen, zur Wartung und zur Einrichtungshilfe können wir über einen gesonderten, mit zweitem Faktor gesicherten Verwaltungszugang Einsicht in die Einrichtung eines Betriebs nehmen: Einstellungen, Konten, Leistungen, Team, Arbeitszeiten, Termine eines Zeitraums von höchstens 14 Tagen und die Anzahl wichtiger Meldungen; von Endkunden nur die Initialen des Namens, keine Kontaktdaten, Notizen oder Nachrichten. Jede Einsicht speichern wir mit Person, Zeitpunkt, Anlass, Begründung und aufgerufener Ansicht; der Betrieb sieht die jüngsten 100 Einträge in seinen Einstellungen, ältere auf Anfrage. Auf Weisung des Betriebs richten wir dabei auch Leistungen, Mitarbeitende (Vorname und Rolle) und Arbeitszeiten ein, und wir können Leistungen aus dem mitgelieferten Katalog von der Buchungsseite nehmen; jede solche Änderung speichern wir mit dem Zustand vorher und nachher. Diese Einträge löschen wir nach zwei Jahren. Rechtsgrundlage ist die Vereinbarung zur Auftragsverarbeitung (Art. 28 DSGVO), für das Protokoll Art. 6 Abs. 1 lit. c in Verbindung mit Art. 5 Abs. 2 und Art. 32 DSGVO.
Stimmt ein Betreiber der Vereinbarung zur Auftragsverarbeitung zu, speichern wir als Nachweis die Kennung und eine Prüfsumme der Vertragsfassung, den Zeitpunkt der Zustimmung, das zustimmende Konto (E-Mail-Adresse) sowie die angegebene Firma, Anschrift und vertretungsberechtigte Person. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 5 Abs. 2 und Art. 28 Abs. 9 DSGVO. Diese Angaben bewahren wir über das Vertragsende hinaus auf, bis Ansprüche aus dem Vertrag verjährt sind, in der Regel drei Jahre ab dem Ende des Jahres, in dem der Vertrag endet. Die geltende Vereinbarung ist abrufbar unter cutz.bookargent.com/avv.
Registriert sich ein Betrieb, speichern wir Name und E-Mail-Adresse der anmeldenden Person, ihr Passwort und ihre Anmelde-PIN ausschließlich als Hashwert, außerdem Name, Anschrift und Telefonnummer des Betriebs und das gewählte Paket. Zur Bestätigung der E-Mail-Adresse schicken wir einen Link. Über jede neue Registrierung werden wir intern per E-Mail benachrichtigt (Name und Ort des Betriebs, Name, E-Mail-Adresse, Telefonnummer). Für die Abrechnung der Pakete setzen wir Stripe ein, sofern nicht per Rechnung abgerechnet wird (Abschnitt 13). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
Anmeldung mit Google (optional). Statt mit E-Mail und Passwort können Sie sich mit Ihrem Google-Konto anmelden. Google übermittelt uns dabei Ihren Namen, Ihre E-Mail-Adresse und gegebenenfalls die Adresse Ihres Profilbilds. Wir verwenden die E-Mail-Adresse, um Ihr bestehendes Konto zu finden; in unserer Datenbank speichern wir davon nichts zusätzlich. Diese Anmeldung gibt uns keinen Zugriff auf Postfach oder Kalender (dafür Abschnitt 7). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
Benachrichtigungen auf dem Gerät (optional). Schaltet ein Betrieb Benachrichtigungen ein, speichern wir die Push-Adresse des Browsers mit ihren Schlüsseln und eine Gerätebezeichnung. Die Nachrichten, etwa Tag, Uhrzeit und Leistung einer neuen Anfrage ohne Namen der Kundschaft, werden verschlüsselt über den Push-Dienst des Browserherstellers zugestellt (zum Beispiel Apple, Google, Mozilla oder Microsoft). Abschalten lässt sich das jederzeit in den Einstellungen des Browsers.
Änderungen durch unseren Support. Auf Bitte des Betriebs, zur Behebung einer Störung oder bei der Wartung können wir über einen gesonderten Verwaltungszugang einzelne Einstellungen des Kontos ändern: den Bestätigungslink erneut senden, eine gesperrte PIN freigeben, die Buchungsseite ab- und wieder einschalten und, nur auf Bitte des Betriebs, einzeln vereinbarte Zusatzfunktionen frei- oder abschalten sowie das Paket und die Zahl der Arbeitsplätze umstellen. Jede solche Änderung speichern wir mit Zeitpunkt, handelnder Person, Anlass, Begründung und dem Zustand vorher und nachher, ohne E-Mail-Adresse, für zwei Jahre; der Betrieb sieht die jüngsten 100 Einträge in seinen Einstellungen, ältere auf Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Aufbewahrung des Nachweises Art. 6 Abs. 1 lit. f DSGVO.
Kostenlose Phase. Gewähren wir einem Betrieb eine kostenlose Phase (Nutzungsbedingungen Ziffer 6), speichern wir an seinem Konto deren Beginn und Ende sowie, wann wir auf das Ende hingewiesen haben, und halten jede Änderung mit Zeitpunkt, handelnder Person, Begründung und dem Ende vorher und nachher fest. Hinweise auf das Ende und Bestätigungen zur kostenlosen Phase schicken wir per E-Mail über Resend (Abschnitt 13) an die Inhaberin oder, falls keine hinterlegt ist, an das älteste aktive Konto des Betriebs; diese Mails enthalten keine Werbung. Die Angaben löschen wir mit den übrigen Daten des Betriebs (Abschnitt 14). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
Fragen Sie über die Buchungsseite eines Betriebs einen Termin an, verarbeiten wir im Auftrag dieses Betriebs Ihren Namen, Ihre E-Mail-Adresse, Ihre Telefonnummer, sofern angegeben, eine optionale Notiz sowie Leistung, Zeitpunkt und gegebenenfalls die gewünschte Mitarbeiterin oder den gewünschten Mitarbeiter. Verantwortlich ist der jeweilige Betrieb (Abschnitt 9). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
Terminmails. Sie erhalten eine Eingangsbestätigung und eine Nachricht, sobald der Betrieb den Termin bestätigt, absagt oder verlegt. Hat der Betrieb die Erinnerung eingeschaltet, erhalten Sie außerdem am Vortag eines bestätigten Termins eine Erinnerung. Diese Mails gehören zum Termin und enthalten keine Werbung. Die Mails zu einer Anfrage, einem bestätigten oder verlegten Termin und die Erinnerung enthalten einen persönlichen Link, über den Sie den Termin verschieben oder absagen können; ist eine Telefonnummer hinterlegt, fragen wir dabei deren letzte drei Ziffern ab. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
Angebote des Betriebs (freiwillig). Setzen Sie bei der Buchung den Haken für Angebote, schicken wir Ihnen im Auftrag des Betriebs eine E-Mail mit einem Bestätigungslink. Erst wenn Sie dort bestätigen, darf der Betrieb Ihnen gelegentlich Angebote per E-Mail schicken. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 UWG). Welche Angebote der Betrieb Ihnen schickt, kann sich nach Ihren bisherigen Besuchen richten – etwa eine Nachricht, wenn Ihr letzter Termin einige Monate zurückliegt.
Zum Nachweis speichern wir den Wortlaut des Hakens und die Zeitpunkte von Anfrage und Bestätigung. Bestätigen Sie nicht, verfällt der Link nach 7 Tagen, und die Anfrage wird nach 30 Tagen gelöscht. Abbestellen können Sie jederzeit über den Link in jeder Angebots-Mail; das wirkt für die Zukunft. Haben Sie sich einmal abgemeldet, lösen spätere Buchungen keine neue Anfrage aus.
Die Anbindung an WhatsApp Business und Instagram ist derzeit für keinen Betrieb freigeschaltet. Die folgenden Angaben gelten ab ihrer Freischaltung.
WhatsApp. Nach der Freischaltung läuft die Kommunikation über die WhatsApp Business Platform von Meta Platforms Ireland Ltd. Kontaktiert ein Endkunde den Betrieb dann per WhatsApp, werden Telefonnummer und Nachrichteninhalt über die Infrastruktur von Meta übertragen. Zusätzlich gelten die Datenschutzbestimmungen von Meta.
Instagram. Nach der Freischaltung werden Direktnachrichten an den Instagram-Account des Betriebs über die Instagram-Schnittstelle von Meta empfangen und beantwortet. Wir greifen dann ausschließlich auf Direktnachrichten und die Basisdaten des verbundenen Professional-Accounts zu. Wir veröffentlichen keine Inhalte, lesen keine Medien und rufen keine Follower-Listen ab.
Nachrichten an Endkunden versenden wir nur als Antwort innerhalb einer vom Endkunden eröffneten Konversation. Terminerinnerungen außerhalb dieses Zeitfensters versenden wir ausschließlich über von Meta freigegebene Vorlagen und nur an Endkunden, die dem ausdrücklich zugestimmt haben. Werbliche Nachrichten versenden wir nicht ohne gesonderte Einwilligung.
| Dienstleister | Zweck | Verarbeitete Daten | Ort |
|---|---|---|---|
| Vercel Inc. | Hosting | Zugriffsdaten | EU (Frankfurt) · Anbieter USA, SCC + DPF |
| Supabase | Datenbank | sämtliche Kunden- und Termindaten | EU (Frankfurt) |
| Anthropic PBC | KI-gestützte Einstufung, Übersetzung und Antwortvorschläge zu Nachrichten; Auslesen einer hochgeladenen Preisliste bei der Einrichtung | Absender, Betreff und Inhalt von Nachrichten, Name und Notiz des Betriebs; Foto einer Preisliste (von uns nicht gespeichert) | USA, SCC + DPF |
| Resend, Inc. | E-Mail-Versand | Name, E-Mail-Adresse, Inhalt der Mail (z. B. Termindaten) | USA, SCC |
| Microsoft Ireland Operations Ltd. (Outlook.com) | Unser Postfach: Kontaktanfragen, interne Registrierungs- und Störungsmeldungen und Hinweise auf neue Supportanfragen (eigener Verantwortlicher) | Name, E-Mail-Adresse, Telefonnummer, Ort, Nachrichteninhalt; zu Supportanfragen nur Nummer, Name des Betriebs, Kategorie und Art | EU · Verarbeitung auch in den USA und weiteren Ländern möglich (USA: DPF, sonst SCC) |
| Google Ireland Ltd. | Kalender- und Postfachanbindung je Betrieb | Termine, E-Mails | EU |
| Upstash | technische Zähler | IP- und E-Mail-Adressen sowie Betriebskennungen als kurzlebige Zählerschlüssel, keine Nachrichteninhalte | EU (Frankfurt) · Anbieter USA, SCC |
| Stripe Payments Europe Ltd. | Abrechnung der Abos der Betriebe (eigener Verantwortlicher) | Rechnungs- und Zahlungsdaten des Betriebs, keine Endkundendaten | EU (Irland) · Übermittlung an Stripe, Inc. (USA) möglich, DPF |
| Meta Platforms Ireland Ltd. | WhatsApp, Instagram (derzeit nicht freigeschaltet) | Telefonnummer, Nachrichteninhalte | EU |
| Foundata GmbH (goQR.me) | QR-Code des Buchungslinks im Dashboard | IP-Adresse, Browser- und Gerätedaten, Herkunftsseite, öffentlicher Buchungslink | Deutschland (Sitz des Anbieters) |
| Google Ireland Ltd. (Google Analytics) | Reichweitenmessung dieser Website, nur mit Einwilligung (Abschnitt 2) | IP-Adresse (nur übermittelt), aufgerufene Seiten, Herkunft des Besuchs, Ereignisse, Geräte- und Browserangaben, Cookie-Kennung | EU (Irland) · Übermittlung an Google LLC (USA) möglich, DPF |
| Meta Platforms Ireland Ltd. (Meta-Pixel) | Anzeigenmessung und Retargeting für diese Website, nur mit Einwilligung, gemeinsam verantwortlich (Abschnitt 2) | IP-Adresse, Geräte- und Browserangaben, aufgerufene Seiten, Ereignisse, Cookie-Kennung | EU (Irland) · Übermittlung an Meta Platforms, Inc. (USA) möglich, DPF |
Vercel Inc.
Supabase
Anthropic PBC
Resend, Inc.
Microsoft Ireland Operations Ltd. (Outlook.com)
Google Ireland Ltd.
Upstash
Stripe Payments Europe Ltd.
Meta Platforms Ireland Ltd.
Foundata GmbH (goQR.me)
Google Ireland Ltd. (Google Analytics)
Meta Platforms Ireland Ltd. (Meta-Pixel)
Nachrichtenverläufe und Termindaten speichern wir für die Dauer des Vertragsverhältnisses mit dem Betreiber. Nach Vertragsende werden die Daten des Betreibers und seiner Endkunden innerhalb von 30 Tagen gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Der Betreiber erhält vorher auf Wunsch einen vollständigen Export im CSV-Format. Ausgenommen sind der Nachweis über den Abschluss der Vereinbarung zur Auftragsverarbeitung (Abschnitt 9), das Protokoll unserer Support-Zugriffe und -Eingriffe (zwei Jahre ab dem jeweiligen Eintrag, Abschnitte 9 und 10), das Protokoll unseres Verwaltungszugangs mit der Kennung des Betriebs (400 Tage ab dem jeweiligen Eintrag) sowie Supportanfragen zur Abrechnung (sechs Jahre, Abschnitt 5).
Wie Endkunden und Betreiber die Löschung ihrer Daten verlangen können, ist unter Löschung deiner Daten beschrieben.
Sie haben gemäß DSGVO folgende Rechte:
Zur Ausübung Ihrer Rechte wenden Sie sich an: ejs-solution@outlook.de
Haben Sie über die Buchungsseite eines Betriebs gebucht, ist dieser Betrieb Ihr Ansprechpartner, denn er ist für Ihre Daten verantwortlich. Seine Kontaktdaten stehen in seinen Datenschutzhinweisen, verlinkt unter seiner Buchungsseite. Wir unterstützen ihn dabei.
Sie haben außerdem das Recht, sich bei der zuständigen Datenschutzaufsichtsbehörde zu beschweren. In Hessen: www.datenschutz.hessen.de
Unsere Website nutzt ausschließlich HTTPS-Verschlüsselung (TLS). Der Zugang zur Verwaltungsoberfläche der BookArgent-Anwendung ist durch eine Authentifizierung (E-Mail + Passwort) geschützt. Passwörter werden gehasht gespeichert.
Wir behalten uns vor, diese Datenschutzerklärung bei Bedarf anzupassen. Die aktuelle Version ist stets unter bookargent.com/datenschutz abrufbar.
Last updated: 11 October 2026
This is a convenience translation. In case of any discrepancy, the German version of this document is the legally binding one.
This policy applies to this website (bookargent.com) and to the BookArgent application (dashboard and the businesses’ booking pages). On this website itself, only the processing operations expressly described for this website in sections 2 to 5 take place; of the service providers in section 13, it uses only Vercel, Resend and, only with your consent, Google Analytics and the Meta Pixel (section 2), plus the email providers named in section 5. Sections 6 to 12 and 14 relate exclusively to the application.
EJS-Solution — Elias Philip Strohbach und Jona Storch GbR
Fechenheimer Weg 35, 63477 Maintal
Phone: 0179 4554925
Email: ejs-solution@outlook.de
Consent. On your first visit, a notice asks whether we may use Google Analytics and the Meta Pixel on this website. Without your consent, this website loads none of these services, sets no cookies and sends no data to Google or Meta. We store your choice with a date in your browser’s localStorage so that the notice does not reappear on every visit; this information does not leave your browser (Section 25(2) no. 2 TDDDG). You can change or withdraw your consent at any time with effect for the future via “Cookie-Einstellungen” at the bottom of the page or here: . When you withdraw consent, we delete the services’ cookies in your browser.
Google Analytics. With your consent, we use Google Analytics 4, a service of Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland (“Google”), to see how visitors use this website and where they come from, for example a search engine, Instagram or a flyer. Google Analytics sets cookies for this (_ga and _ga_ with an identifier, stored for up to two years) and records pages viewed, time spent, the source of the visit, device and browser information, approximate location (down to city level), scrolling, clicks on links to other websites and interactions with forms, in each case without their content, as well as two events of our own: clicking on a demo and submitting the waiting-list form (section 5), also without content. Your IP address is transmitted to Google, used there only to determine your approximate location and, according to Google, not stored. We do not use Google signals or Google’s advertising features. Google processes the data on our behalf under its data processing terms (Art. 28 GDPR); a transfer to Google LLC in the USA is possible, and Google LLC is certified under the EU-US Data Privacy Framework. The data is deleted no later than 14 months after your last visit. The legal basis is your consent (Art. 6(1)(a) GDPR, Section 25(1) TDDDG).
Meta Pixel. With your consent, we use the Meta Pixel of Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Ireland (“Meta”). It lets us measure whether visitors open a demo or join the waiting list after seeing one of our ads on Facebook or Instagram, show visitors of this website ads on Facebook and Instagram later (retargeting) and build similar audiences. The pixel sets cookies (_fbp, and after clicking an ad also _fbc, stored for 90 days), may read Meta’s own cookies under facebook.com and transmits your IP address, device and browser information, the page viewed, the referring page and the events mentioned to Meta, without the content of the waiting-list form. We have switched off automatic events and the automatic matching of form fields. If you are logged in to Facebook or Instagram, Meta can link the visit to your account.
We and Meta are joint controllers for collecting and transmitting this data (Art. 26 GDPR); the agreement is Meta’s Controller Addendum. Under it, Meta is responsible for providing information about the joint processing and for handling your rights regarding it; you can also exercise your rights with us. For measurement reports and building our audiences, Meta then processes the data on our behalf (Art. 28 GDPR, Meta’s data processing terms); audiences built from visits to this website last no longer than 180 days. Meta alone is responsible for its own purposes, such as personalising ads, see Meta’s Privacy Policy. A transfer to Meta Platforms, Inc. in the USA is possible; Meta Platforms, Inc. is certified under the EU-US Data Privacy Framework. The legal basis is your consent (Art. 6(1)(a) GDPR, Section 25(1) TDDDG). In your Facebook and Instagram settings you can also switch off ads based on your activity outside Meta.
In the BookArgent application we use only technically necessary cookies that are required in order to operate the platform. To that end we store your session data (session token) in a secure HTTP cookie. No tracking or analytics cookies are set without your consent.
In addition, we use localStorage there in the browser for user settings (e.g. dark/light mode) and as a cache for your profile picture. This data does not leave your browser. Profile pictures and logos you upload, however, are stored in Supabase (section 6); they are publicly accessible via their address so that they can be shown in emails, for example.
If a technical error occurs in the dashboard (section 3), the browser stores its identifier with the time in session storage (sessionStorage) so that the support form can offer to include it for 30 minutes (section 5). Session storage is cleared as soon as you close the tab.
This website is provided via Vercel Inc. (340 S Lemon Ave #4133, Walnut, CA 91789, USA). Processing takes place on servers in the EU (Frankfurt, Germany). Vercel is certified under the EU-US Data Privacy Framework so that an adequate level of data protection is ensured.
When this website or the BookArgent application is accessed, our hosting provider Vercel automatically processes access data in server logs: IP address, date/time, page accessed, browser type. The IP address is not shortened. When a package is selected in the application, we additionally write it, together with the business’s identifier, to our application log. We use this data solely to keep the service running and to fix faults. Vercel deletes the logs after 30 days at the latest; we ourselves can only retrieve them for a short time. To protect against misuse, the IP address also briefly serves as a counter key at Upstash in the application (section 13); these keys expire after about two hours at most. The legal basis is Art. 6(1)(f) GDPR (legitimate interest in secure operation).
If a technical error occurs in a business’s dashboard, we record it automatically so that we can fix it: the affected page without search or access parameters, the error message with the technical trace, the pages and application interfaces accessed just before, browser with major version and operating system, time, the business’s identifier and the software version. We record errors on our servers in the same way; if they occur when a booking page is accessed, we only store the page, the error message with the technical trace, the time, the software version and the business concerned, and the browser with major version and operating system only if someone is logged in with a business’s account at the time. Error recording does not capture IP addresses, form entries or the content of appointments, customer records or messages; email addresses, phone numbers, longer sequences of digits and access keys are automatically made unrecognisable before storage. The error reports are kept in our database at Supabase (section 6), are visible only to us and are deleted 90 days after the error last occurred. For troubleshooting with AI tools, we pass on individual reports only after redacting them a second time; the business appears in them only as a technical identifier. The legal basis is Art. 6(1)(f) GDPR (legitimate interest in fault-free and secure operation).
On this website and in the BookArgent application we use the “Geist” and “Schibsted Grotesk” typefaces via Next.js Font Optimization. The font files are downloaded during the build process and subsequently served locally from our own server. No requests are made to external servers (e.g. Google Fonts).
If you contact us by email, we store the details you provide (name, email address, message content) in order to process your enquiry. The data is used solely for communicating with you. It is passed on only to our email providers: our mailbox ejs-solution@outlook.de is operated by Microsoft (Outlook.com), and emails to kontakt@bookargent.com are forwarded by our domain provider Porkbun LLC via its servers in the USA. Legal basis: Art. 6(1)(b) GDPR (steps prior to entering into a contract) or Art. 6(1)(f) GDPR (legitimate interest).
Waiting-list form. Using “Platz sichern” (secure your spot) on this website, you can put yourself on our waiting list. We ask for your name, the name of your studio, your WhatsApp number and which plan you are interested in (or whether you would like to talk to us first). We send these details as an email via our email service Resend (section 13) to our own mailbox; we do not store them in a database. We use them solely to get back to you personally, for example by WhatsApp at the number provided; WhatsApp’s privacy policy also applies to those messages. If sending the email fails, we write the details with a timestamp to the server log at Vercel so that the request is not lost. Legal basis: Art. 6(1)(b) GDPR (steps prior to entering into a contract) or Art. 6(1)(f) GDPR (legitimate interest).
Support requests. Businesses can write to us from within BookArgent (support). For this we store the request with its category, subject and message history, the sending account with its email address, the business and technical details (the page from which the message was written, the software version and, where applicable, the identifier of an error that occurred beforehand) in our database at Supabase in Frankfurt (section 6). We are notified of new requests and messages by email, though not of every single one when a business sends many messages in quick succession; such an email only states the request number, the name of the business, the category and whether the request is new, reopened or has a further message, not the subject or text, and is sent via Resend to our mailbox at Microsoft (Outlook.com). We also send our replies by email via Resend to the address of the account that wrote to us (section 13). We delete requests twelve months after they have been resolved, and those of a business in the next daily deletion run after its data has been deleted; we keep requests concerning billing as business letters for six years (Section 257 HGB, Section 147 AO), counted from the end of the year of the last message. The legal basis is Art. 6(1)(b) GDPR, for accounts of a business’s employees Art. 6(1)(f) GDPR (legitimate interest in supporting our customers), and for retention Art. 6(1)(c) GDPR.
Appointment data, customer data and staff data are stored in Supabase (Supabase Inc.). Hosting takes place in a data centre in the European Union (Frankfurt am Main, AWS eu-central-1). The personal data stored in Supabase remains within the EU; this data is not stored in the USA. A data processing agreement (DPA) pursuant to Art. 28 GDPR is in place with the provider.
Stored data: customer names, phone numbers, email addresses, booked services, appointments, payment amounts. Legal basis: Art. 6(1)(b) GDPR (performance of contract / appointment management).
Connecting a Google account is optional, off by default and can be revoked at any time. BookArgent is fully usable without it. We request exactly three permissions:
This connection does not access your Google profile; for signing in with Google, see section 10. If the plan includes the inbox, we read the address of the connected mailbox through the gmail.readonly permission when connecting and store it, so that “Integrations” shows which mailbox is connected; it is deleted when you disconnect. The connection uses OAuth 2.0. An access key (refresh token) is stored with us — we never receive your Google password. Legal basis: Art. 6(1)(a) GDPR (consent).
One exception when sending: if you request a new password and the message cannot be delivered through our own mail service, we send it via your connected mailbox — otherwise you would be locked out of your account.
Revoking access. Using “Disconnect Google account” in the settings, we revoke the permission at Google and delete the stored keys. Access can also be withdrawn at any time directly in your Google account at myaccount.google.com/permissions.
Limited Use. BookArgent’s use of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements. We use this data solely to provide the user-facing features described in this policy. We do not transfer it for advertising purposes and do not sell it. Humans read it only with your explicit consent, where necessary to resolve a malfunction or for security reasons, or where required by law.
No AI model training. We do not use data from Gmail or Google Calendar to develop, improve or train generalised AI or ML models — neither ourselves nor through the service providers we use.
Vera drafts suggested replies. It never answers on its own and never creates appointments: the draft appears in the dashboard, can be edited, and a human decides whether and when it is sent. This processes content from the connected mailbox — sender address, subject and message body.
Three operations transmit content to Anthropic:
The recipient is Anthropic PBC (model “Claude”, 548 Market St, San Francisco, CA, USA). This constitutes a transfer to a third country (the USA).
The transfer is safeguarded by a data processing agreement with Anthropic together with appropriate safeguards (EU Standard Contractual Clauses or the EU-US Data Privacy Framework). The content is processed solely to provide the respective function and is contractually not used for training purposes. Legal basis: Art. 6(1)(b) GDPR (pre-contractual measures and performance of a contract) and Art. 6(1)(f) GDPR (legitimate interest in efficient customer communication).
We store the results of the urgency check for 30 days so the same message is not checked repeatedly. This stores the sender name, the subject and a short excerpt of the message.
Email replies at least half of which consist of a suggestion from Vera that is no more than 24 hours old carry a corresponding notice. There is no solely automated decision with legal effect within the meaning of Art. 22 GDPR.
Price list from a photo. Outside Vera, we use Anthropic for one further function: during setup, a business can upload a photo of its price list. The image is reduced in size in the browser and transmitted to Anthropic only once the business has selected it (recipient and safeguards as above), in order to read services, prices and durations from it. We do not store the image. The result is a suggestion: only what the business reviews and confirms on activation goes online. The photo should show only the price list, no people and no customer data. The legal basis is Art. 6(1)(b) GDPR.
BookArgent is software for appointment management and customer communication. The users of the service are commercial operators of salons and studios. For the processing of the data of their own customers, the respective operator is the controller under data protection law; we act as processor pursuant to Art. 28 GDPR. The basis is the data processing agreement that we conclude with each operator before processing begins.
Within this framework we process:
For support requests, faults, maintenance and setup assistance, we can view a business’s setup through a separate administration access secured with a second factor: settings, accounts, services, team, working hours, appointments for a period of no more than 14 days and the number of important notifications; for end customers only the initials of their name, no contact details, notes or messages. We record every such view with the person, time, occasion, reason and the view accessed; the business can see the most recent 100 entries in its settings, older ones on request. On the business’s instructions we also set up services, staff members (first name and role) and working hours there, and we can take services from the supplied catalogue off the booking page; we record every such change with the state before and after. We delete these entries after two years. The legal basis is the data processing agreement (Art. 28 GDPR), and for the log Art. 6(1)(c) in conjunction with Art. 5(2) and Art. 32 GDPR.
When an operator agrees to the data processing agreement, we store as proof the identifier and a checksum of the contract version, the time of consent, the consenting account (email address) and the company, address and authorised representative stated. The legal basis is Art. 6(1)(c) GDPR in conjunction with Art. 5(2) and Art. 28(9) GDPR. We keep this information beyond the end of the contract until claims under the contract are time-barred, usually three years from the end of the year in which the contract ends. The applicable agreement is available at cutz.bookargent.com/avv.
When a business registers, we store the name and email address of the person registering, their password and their sign-in PIN only as a hash, and also the name, address and phone number of the business and the chosen plan. We send a link to confirm the email address. We are notified internally by email about every new registration (name and town of the business, name, email address, phone number). We use Stripe to bill the plans unless billing is by invoice (section 13). The legal basis is Art. 6(1)(b) GDPR.
Signing in with Google (optional). Instead of email and password, you can sign in with your Google account. Google then passes us your name, your email address and, where available, the address of your profile picture. We use the email address to find your existing account; we do not store any of this additionally in our database. This sign-in gives us no access to your mailbox or calendar (see section 7 for that). The legal basis is Art. 6(1)(b) GDPR.
Notifications on your device (optional). If a business switches on notifications, we store the browser’s push address with its keys and a device label. The messages, such as the day, time and service of a new request without customer names, are delivered encrypted via the push service of the browser vendor (for example Apple, Google, Mozilla or Microsoft). This can be switched off at any time in the browser settings.
Changes made by our support team. At the business’s request, to remedy a fault or during maintenance, we can change individual account settings through a separate administration access: resend the confirmation link, unlock a locked PIN, switch the booking page off and back on and, only at the business’s request, enable or disable individually agreed additional features and change the plan and the number of workstations. We record every such change with the time, the person acting, the occasion, the reason and the state before and after, without email address, for two years; the business can see the most recent 100 entries in its settings, older ones on request. The legal basis is Art. 6(1)(b) GDPR, and for keeping the record Art. 6(1)(f) GDPR.
Free period. If we grant a business a free period (terms of use, clause 6), we store its start and end on its account, as well as when we notified it of the end, and we record every change with the time, the person acting, the reason and the end date before and after. We send notices of the end and confirmations about the free period by email via Resend (section 13) to the owner or, if none is on file, to the oldest active account of the business; these emails contain no advertising. We delete this information together with the business’s other data (section 14). The legal basis is Art. 6(1)(b) GDPR.
If you request an appointment through a business’s booking page, we process on behalf of that business your name, your email address, your phone number if provided, an optional note, and the service, time and, where applicable, the staff member you asked for. The business is the controller (section 9). The legal basis is Art. 6(1)(b) GDPR.
Appointment emails. You receive an acknowledgement of your request and a message as soon as the business confirms, declines, cancels or moves the appointment. If the business has switched reminders on, you also receive a reminder on the day before a confirmed appointment. These emails belong to the appointment and contain no advertising. The emails about a request, a confirmed or moved appointment and the reminder contain a personal link that lets you reschedule or cancel the appointment; if a phone number is on file, we ask for its last three digits when you do. The legal basis is Art. 6(1)(b) GDPR.
Offers from the business (optional). If you tick the box for offers when booking, we send you an email with a confirmation link on behalf of the business. Only once you confirm there may the business send you occasional offers by email. The legal basis is your consent (Art. 6(1)(a) GDPR, Section 7(2) UWG). Which offers the business sends you may depend on your previous visits – for example, a message if your last appointment was a few months ago.
As proof, we store the wording of the checkbox and the times of the request and the confirmation. If you do not confirm, the link expires after 7 days and the request is deleted after 30 days. You can unsubscribe at any time via the link in every offer email; this takes effect for the future. Once you have unsubscribed, later bookings do not trigger a new request.
The connection to WhatsApp Business and Instagram is currently not enabled for any business. The following applies once it is enabled.
WhatsApp. Once enabled, communication takes place via the WhatsApp Business Platform operated by Meta Platforms Ireland Ltd. If an end customer then contacts the business by WhatsApp, the telephone number and the message content are transmitted through Meta’s infrastructure. Meta’s privacy terms apply in addition.
Instagram. Once enabled, direct messages to the business’s Instagram account are received and answered through Meta’s Instagram interface. We then access direct messages and the basic data of the connected professional account only. We do not publish content, do not read media and do not retrieve follower lists.
We only send messages to end customers as a reply within a conversation opened by the end customer. Appointment reminders outside this window are sent exclusively via templates approved by Meta and only to end customers who have expressly agreed to this. We do not send promotional messages without separate consent.
| Service provider | Purpose | Data processed | Location |
|---|---|---|---|
| Vercel Inc. | Hosting | Access data | EU (Frankfurt) · provider in the USA, SCC + DPF |
| Supabase | Database | all customer and appointment data | EU (Frankfurt) |
| Anthropic PBC | AI-assisted classification, translation and draft replies for messages; reading an uploaded price list during setup | Sender, subject and content of messages, name and note of the business; photo of a price list (not stored by us) | USA, SCC + DPF |
| Resend, Inc. | Email delivery | Name, email address, content of the email (e.g. appointment details) | USA, SCC |
| Microsoft Ireland Operations Ltd. (Outlook.com) | Our mailbox: contact enquiries, internal registration and fault notifications and notices of new support requests (separate controller) | Name, email address, telephone number, town, message content; for support requests only the number, the business’s name, the category and the type | EU · processing also possible in the USA and other countries (USA: DPF, otherwise SCC) |
| Google Ireland Ltd. | Calendar and mailbox connection per business | Appointments, emails | EU |
| Upstash | technical counters | IP and email addresses and business identifiers as short-lived counter keys, no message content | EU (Frankfurt) · provider in the USA, SCC |
| Stripe Payments Europe Ltd. | Billing of the businesses’ subscriptions (separate controller) | Billing and payment data of the business, no end-customer data | EU (Ireland) · transfer to Stripe, Inc. (USA) possible, DPF |
| Meta Platforms Ireland Ltd. | WhatsApp, Instagram (currently not enabled) | Telephone number, message content | EU |
| Foundata GmbH (goQR.me) | QR code of the booking link in the dashboard | IP address, browser and device data, referring page, public booking link | Germany (provider’s registered office) |
| Google Ireland Ltd. (Google Analytics) | Audience measurement for this website, only with consent (section 2) | IP address (transmitted only), pages viewed, source of the visit, events, device and browser information, cookie identifier | EU (Ireland) · transfer to Google LLC (USA) possible, DPF |
| Meta Platforms Ireland Ltd. (Meta Pixel) | Ad measurement and retargeting for this website, only with consent, joint controllers (section 2) | IP address, device and browser information, pages viewed, events, cookie identifier | EU (Ireland) · transfer to Meta Platforms, Inc. (USA) possible, DPF |
Vercel Inc.
Supabase
Anthropic PBC
Resend, Inc.
Microsoft Ireland Operations Ltd. (Outlook.com)
Google Ireland Ltd.
Upstash
Stripe Payments Europe Ltd.
Meta Platforms Ireland Ltd.
Foundata GmbH (goQR.me)
Google Ireland Ltd. (Google Analytics)
Meta Platforms Ireland Ltd. (Meta Pixel)
We store message histories and appointment data for the duration of the contract with the operator. After the contract ends, the data of the operator and its end customers is deleted within 30 days unless statutory retention obligations apply. Beforehand, the operator receives a complete export in CSV format on request. The exceptions are the proof of the data processing agreement (section 9), the log of our support access and interventions (two years from the respective entry, sections 9 and 10), the log of our administration access with the business’s identifier (400 days from the respective entry) and support requests concerning billing (six years, section 5).
How end customers and operators can request the deletion of their data is described under Deletion of your data.
Under the GDPR you have the following rights:
To exercise your rights, please contact: ejs-solution@outlook.de
If you booked through a business’s booking page, that business is your point of contact, because it is responsible for your data. Its contact details are in its privacy notice, linked below its booking page. We support it in this.
You also have the right to lodge a complaint with the competent data protection supervisory authority. In Hesse: www.datenschutz.hessen.de
Our website uses HTTPS encryption (TLS) exclusively. Access to the administration interface of the BookArgent application is protected by authentication (email + password). Passwords are stored in hashed form.
We reserve the right to amend this privacy policy where necessary. The current version is always available at bookargent.com/datenschutz.