1 · Verantwortliche
Sofia Luna Di Francesco, Sofia Luna Keramik, Notburgastraße 5, 80639 München Telefon: 089/12625755089/12625755 E-Mail: keramik@sofialuna.dekeramik@sofialuna.de Eine Datenschutzbeauftragte ist nicht bestellt, weil keine gesetzliche Pflicht dazu besteht. Bei Fragen zum Datenschutz schreib mir einfach an keramik@sofialuna.de. Diese Erklärung gilt für die Website sofialuna.de, die Buchung über eTermin, den Newsletter und für alles, was in der Werkstatt passiert (Kurse, Offene Werkstatt, Auftragsarbeiten). Eine Papierfassung liegt in der Werkstatt aus.
2 · Hosting, Verschlüsselung und Server-Logfiles
Die Website liegt bei der IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, auf Servern in Deutschland. Mit IONOS besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Die Verbindung ist per TLS verschlüsselt (https). Bei jedem Aufruf erfasst der Server automatisch IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Referrer, Browser und Betriebssystem. Das brauchen wir für einen sicheren, stabilen Betrieb und um Angriffe zu erkennen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die IP-Adresse wird von IONOS direkt nach der Erhebung anonymisiert; die Logfiles werden nach höchstens acht Wochen gelöscht. Schriften, Bilder und Skripte liegen auf unserem eigenen Server. Beim Besuch der Website werden keine Inhalte von Google, Instagram oder anderen Drittanbietern geladen.
4 · Kontakt per Formular, E-Mail oder Telefon
Wenn du mir über das Kontaktformular, per E-Mail oder telefonisch schreibst bzw. anrufst, verarbeite ich deine Angaben (Name, Kontaktdaten, Nachricht), um deine Anfrage zu beantworten. Das Formular wird über unseren eigenen Server bei IONOS als E-Mail an mich geschickt; ein externer Formulardienst ist nicht beteiligt. Anschließend schickt der Server dir eine kurze Eingangsbestätigung an die angegebene E-Mail-Adresse mit Thema, Datum und einer Kopie deiner Nachricht (enthält sie einen Link, ohne die Kopie). Rechtsgrundlage ist deine Einwilligung über das Häkchen im Formular (Art. 6 Abs. 1 lit. a DSGVO); geht es um eine Buchung, einen Kauf oder einen Auftrag, außerdem Art. 6 Abs. 1 lit. b DSGVO, sonst mein berechtigtes Interesse, Anfragen zu beantworten (Art. 6 Abs. 1 lit. f DSGVO). Auch Widerrufserklärungen über die Online-Widerrufsfunktion (sofialuna.de/widerruf) laufen über unseren eigenen Server bei IONOS. Den Eingang bestätige ich dir unverzüglich per E-Mail; Erklärung und Bestätigung bewahre ich zum Nachweis auf (Art. 6 Abs. 1 lit. b und c DSGVO). Ich lösche die Anfrage, sobald sie erledigt ist. Führt sie zu einem Vertrag, bewahre ich die Korrespondenz so lange auf, wie es das Handels- und Steuerrecht verlangt (bis zu sechs Jahre).
5 · Buchungen, Zeitkarten und Gutscheine (eTermin)
Für Kursbuchungen, Plätze in der Offenen Werkstatt, Wartelisten sowie den Verkauf von Zeitkarten und Gutscheinen nutze ich das Buchungssystem eTermin (eTermin GmbH, Mättivor 3, 6430 Schwyz, Schweiz; die Daten liegen in einem Rechenzentrum in Frankfurt am Main). Mit eTermin besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO; für die Schweiz gilt ein Angemessenheitsbeschluss der EU-Kommission. Das Buchungsfenster auf der Website wird erst geladen, wenn du auf einen Buchen- oder Kaufen-Knopf klickst – vorher wird keine Verbindung zu eTermin aufgebaut. Verarbeitet werden: Name, Anschrift (für die Rechnung), E-Mail-Adresse, Telefonnummer, freiwillig eine Bemerkung, der gebuchte Termin bzw. die gekaufte Leistung, eingelöste Codes, deine Antworten auf die Häkchen im Formular (z. B. Newsletter, Bitte um eine Bewertung) sowie Zahlungsstatus und -art. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag). Ohne Name, E-Mail-Adresse und Anschrift kann ich keine Buchung annehmen. eTermin setzt beim Buchen ein Cookie für die Sprache und nutzt den Sitzungsspeicher des Browsers für den Buchungsablauf; beides ist technisch notwendig (§ 25 Abs. 2 Nr. 2 TDDDG). Nur wenn du „Eingaben auf diesem Gerät merken“ ankreuzt, speichert eTermin deine Kontaktdaten zusätzlich als Cookie auf deinem Gerät, damit du sie beim nächsten Mal nicht neu eingeben musst. eTermin schickt dir Bestätigungen, Erinnerungen und gegebenenfalls Absagen per E-Mail und meldet Buchungen, Absagen und Wartelisten-Einträge an unseren Server bei IONOS. Dort laufen automatisch: die Prüfung und Verwaltung von Gutschein- und Zeitkarten-Codes, die Warteliste (Abschnitt 9) und die Bitte um eine Bewertung (Abschnitt 10). Für die Treue-Aktion (AGB Abschnitt 10 Abs. 6) zählt unser Server, wie viele Treue-Zeitkarten mit derselben E-Mail-Adresse gekauft wurden. Gespeichert wird dafür nur eine Prüfsumme der Adresse, nicht die Adresse selbst; sie wird zum Jahresende 2026 gelöscht. Wird die erlaubte Zahl überschritten, bekomme ich eine Mail mit dem Code und den Angaben aus der Bestellung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung der Aktionsbedingungen). Auf der Seite „Gutschein drucken“ kannst du einen Code prüfen lassen. Unser Server fragt dann bei eTermin nach Art, Restwert und Gültigkeit des Codes. Übertragen wird nur der Code; Namen und Gruß bleiben in deinem Browser. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an fehlerfreien Gutscheinen). Buchungsdaten lösche ich, sobald sie für den Vertrag nicht mehr gebraucht werden. Was für Rechnungen und Buchhaltung nötig ist, bewahre ich nach § 147 AO und § 257 HGB auf (Buchungsbelege und Rechnungen acht Jahre, Geschäftsbriefe sechs Jahre).
6 · Rechnungen (Lexware Office)
Für jede Buchung mit Preis erstellt eTermin automatisch eine Rechnung in Lexware Office (Haufe-Lexware GmbH & Co. KG, Munzinger Straße 9, 79111 Freiburg) und schickt sie dir per E-Mail. Dafür werden Name, Anschrift, E-Mail-Adresse, Leistung, Datum und Betrag an Lexware übertragen. Die Daten liegen auf Servern in Frankfurt am Main; für den E-Mail-Versand und den Support setzt Lexware auch Dienstleister in den USA ein, abgesichert über das EU-US Data Privacy Framework bzw. Standardvertragsklauseln. Mit Lexware besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag) und Art. 6 Abs. 1 lit. c DSGVO (steuerliche Aufzeichnungs- und Aufbewahrungspflichten). Rechnungen werden acht Jahre aufbewahrt.
7 · Bezahlung (Stripe, Karte und bar vor Ort)
Online bezahlst du im Buchungsfenster über Stripe (Stripe Payments Europe, Limited, Dublin, Irland). Stripe erhält dafür deine Zahlungsdaten (z. B. Kartennummer, Name, Betrag) sowie technische Daten deines Geräts zur Betrugsvorbeugung; dazu setzt Stripe beim Bezahlen eigene, technisch notwendige Cookies. Ich selbst sehe keine vollständigen Kartendaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Stripe verarbeitet die Daten teilweise als eigenständig Verantwortliche (z. B. für Betrugsvorbeugung und gesetzliche Pflichten). Dabei können Daten in die USA übermittelt werden; Stripe ist nach dem EU-US Data Privacy Framework zertifiziert, zusätzlich gelten Standardvertragsklauseln. Mehr dazu: stripe.com/de/privacy. In der Werkstatt kannst du auch mit Karte oder bar bezahlen. Kartenzahlungen vor Ort laufen über ein Kartenterminal von SumUp (SumUp Limited, Dublin, Irland). SumUp verarbeitet die Kartendaten als eigenständige Verantwortliche nach ihren eigenen Datenschutzhinweisen (sumup.de/datenschutz); ich selbst sehe auch hier keine vollständigen Kartendaten.
9 · Warteliste
Ist ein Kurs ausgebucht, kannst du dich über eTermin auf die Warteliste setzen. eTermin meldet uns den Eintrag; unser Server bei IONOS speichert dafür Vorname, E-Mail-Adresse, Sprache und den Kurstermin und schickt dir eine E-Mail mit Buchungslink, sobald ein Platz frei wird. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (du hast die Benachrichtigung angefragt). Die Angaben werden gelöscht, sobald der Kurs begonnen hat, du gebucht hast oder du dich austragen lässt – eine kurze Antwort auf die Mail genügt.
10 · Bitte um eine Bewertung
Wenn du beim Buchen eines Kurses zustimmst, schicke ich dir am Tag nach deinem letzten Kurstermin eine kurze E-Mail mit der Bitte um eine Bewertung und einem Link zu meinem Google-Unternehmensprofil. Dafür nutze ich Vorname, E-Mail-Adresse, Sprache und die Kurstermine aus eTermin; verschickt wird die Mail von unserem eigenen Server bei IONOS. Was du bei Google schreibst, verarbeitet Google nach seiner eigenen Datenschutzerklärung. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen – über den Link in der Mail oder per Antwort darauf.
11 · Kurse und Werkstatt vor Ort
Buchungen per Telefon, E-Mail oder vor Ort, Auftragsarbeiten und Käufe in der Werkstatt: Ich verarbeite Name, Kontaktdaten, gegebenenfalls Anschrift und die vereinbarte Leistung zur Abwicklung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO) und bewahre Rechnungen nach den steuerlichen Fristen auf. Minderjährige: Für Jugendliche ab 14, die ohne Begleitung teilnehmen, brauche ich eine Einverständniserklärung der Erziehungsberechtigten mit einer Notfallkontaktperson. Diese Angaben nutze ich nur für den jeweiligen Kurs und für Notfälle (Art. 6 Abs. 1 lit. b und lit. d DSGVO) und lösche sie spätestens drei Monate nach Kursende. Gesundheit: Angaben zu Schwangerschaft, Allergien oder Erkrankungen sind freiwillig. Erzählst du mir davon, damit ich den Kurs anpassen kann (z. B. andere Glasuren), nutze ich sie nur dafür und nur mit deiner ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO). Ich schreibe sie nicht in die Buchung und lösche Notizen dazu spätestens mit Kursende. Bitte trag Gesundheitsangaben nicht in das Bemerkungsfeld der Online-Buchung ein. Fotos und Videos: Personen, die darauf zu erkennen sind, veröffentliche ich auf der Website oder bei Instagram nur mit Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), bei Minderjährigen mit Einwilligung der Erziehungsberechtigten. Die Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Fotos von Werkstücken, die du selbst gefertigt hast, veröffentliche ich ebenfalls nur mit deiner Einwilligung (Formular in der Werkstatt); auch sie kannst du jederzeit mit Wirkung für die Zukunft widerrufen.
12 · Instagram
Ich betreibe das Instagram-Profil @sofialunakeramik. Die Website verlinkt nur darauf; erst wenn du den Link anklickst, verbindet sich dein Browser mit Instagram. Für das Profil bin ich zusammen mit Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland verantwortlich (Art. 26 DSGVO), soweit Meta mir Statistiken („Insights“) über die Nutzung des Profils bereitstellt. Die Vereinbarung dazu (Page Insights Controller Addendum) und die Datenschutzerklärung von Meta findest du unter facebook.com/legal/terms/page_controller_addendum und privacycenter.instagram.com. Deine Rechte kannst du auch direkt bei Meta geltend machen. Rechtsgrundlage für meine Präsenz ist mein berechtigtes Interesse, die Werkstatt zu zeigen und mit dir in Kontakt zu kommen (Art. 6 Abs. 1 lit. f DSGVO).
13 · Neuigkeiten und Öffnungszeiten
Neuigkeiten und Öffnungszeiten pflege ich in einer Google-Tabelle. Unser Server ruft diese Inhalte ab und liefert sie selbst aus – deine IP-Adresse wird dabei nicht an Google übertragen.
14 · Empfänger auf einen Blick
IONOS (Hosting, E-Mail), eTermin (Buchungen), Lexware Office (Rechnungen), Stripe (Zahlungen), Brevo (Newsletter) und, wenn du sie besuchst, Instagram/Meta. Darüber hinaus gebe ich Daten nur weiter, wenn ich gesetzlich dazu verpflichtet bin (z. B. an das Finanzamt). Eine automatisierte Entscheidungsfindung oder Profilbildung findet nicht statt.
15 · Deine Rechte
Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Eine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO); die bis dahin erfolgte Verarbeitung bleibt rechtmäßig. Eine kurze E-Mail an keramik@sofialuna.de genügt. Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), zum Beispiel bei der für mich zuständigen: Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.
16 · Widerspruchsrecht
Soweit ich Daten auf Grundlage meines berechtigten Interesses verarbeite (Art. 6 Abs. 1 lit. f DSGVO – z. B. Server-Logfiles, Code-Prüfung, Sperrliste), kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen (Art. 21 Abs. 1 DSGVO). Ich verarbeite die Daten dann nicht mehr, es sei denn, ich kann zwingende schutzwürdige Gründe nachweisen, die deine Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Der Verwendung deiner Daten für den Newsletter kannst du jederzeit ohne Angabe von Gründen widersprechen (Art. 21 Abs. 2 DSGVO) – über den Abmeldelink oder per E-Mail.