Datenschutzerklärung

Kagenda ist eine Software für Online-Terminbuchung. Darin kommen zwei Gruppen von Personen vor, und das Gesetz behandelt sie nicht gleich — das ist der wichtigste Punkt dieses Dokuments.

Die Fachkraft, die ein Konto eröffnet, ist unsere Kundin. Über ihre Daten entscheiden wir: wir sind Verantwortliche.

Deren Kundschaft, die einen Termin bucht, steht in keiner Beziehung zu uns. Ihre Daten gehören zum Bestand der Fachkraft, die allein darüber entscheidet. Wir hosten und verarbeiten sie nur nach deren Weisung: wir sind Auftragsverarbeiter im Sinne des Artikels 28 der Datenschutz-Grundverordnung.

Im Klartext: Wenn Sie über Kagenda einen Termin bei einer Fachkraft gebucht haben und möchten, dass Ihre Daten gelöscht werden, wenden Sie sich an diese Fachkraft. Wir führen ihre Entscheidung aus, wir treffen sie nicht an ihrer Stelle.

1. Die Daten der Fachkraft

Was wir erheben

Daten	Wozu	Rechtsgrundlage
Name, Vorname, E-Mail, Passwort (gehasht)	Konto anlegen und schützen	Vertragserfüllung
Geschäftsbezeichnung, Anschrift, Telefon, Logo	Die Buchungsseite aufbauen	Vertragserfüllung
Leistungen, Öffnungszeiten, Stornoregeln	Den Kalender betreiben	Vertragserfüllung
Stripe-Abrechnungskennungen	Das Abonnement einziehen	Vertragserfüllung
Technische Protokolle (IP-Adresse, Zeitstempel)	Sicherheit, Störungsdiagnose	Berechtigtes Interesse

Was wir nicht tun

Wir verkaufen keine Daten. Wir geben keine weiter. Wir betreiben kein Werbeprofiling und nutzen kein Werbenetzwerk.

2. Die Daten der Kundschaft der Fachkraft

Die Fachkraft entscheidet, was sie erhebt. Standardmäßig erfasst eine Buchung Name, Vorname, E-Mail und Telefon, die gebuchte Leistung, das Datum und gegebenenfalls den gezahlten Betrag. Die Fachkraft kann eigene Fragen hinzufügen.

Gesundheitsdaten und Berufsgeheimnis

In manchen Berufen ist schon der Name einer Leistung aussagekräftig: ein Termin mit der Bezeichnung « Traumanachsorge » bei einer Hypnosetherapeutin ist ein Gesundheitsdatum im Sinne des Artikels 9 der Datenschutz-Grundverordnung, auch wenn niemand ein Kästchen angekreuzt hat.

Daraus ziehen wir drei konkrete Konsequenzen:

• Nichts wird gelesen. Niemand bei Kagenda sieht sich den Inhalt von Kalendern an, außer auf ausdrückliche Bitte der Fachkraft im Rahmen einer Support-Anfrage und nur für deren Dauer.
• Nichts trainiert irgendetwas. Keine Buchungsdaten fließen in ein Modell des maschinellen Lernens, weder in unseres noch in das eines Dritten.
• Die Fachkraft bleibt verantwortlich. Sie holt die Einwilligung ihrer Patientinnen und Patienten ein, informiert sie und prüft — sofern sie einem reglementierten Gesundheitsberuf angehört — ihre eigenen Pflichten beim Umgang mit Gesundheitsdaten. Kagenda ist nicht als hébergeur de données de santé nach französischem Recht zertifiziert und verfügt über keine gleichwertige Zertifizierung.

Für Deutschland kommt eine Pflicht hinzu, die über die Datenschutz-Grundverordnung hinausgeht und die häufig übersehen wird. Angehörige der in § 203 des Strafgesetzbuchs genannten Berufe — Ärztinnen und Ärzte, Psychotherapeutinnen und Psychotherapeuten, Rechtsanwältinnen und Rechtsanwälte, Steuerberatende und weitere — dürfen externe Dienstleister einbeziehen, müssen diese aber nach § 203 Absatz 3 des Strafgesetzbuchs zur Geheimhaltung verpflichten und sorgfältig auswählen. Ein Auftragsverarbeitungsvertrag nach Artikel 28 allein genügt dafür nicht: die Verschwiegenheitsverpflichtung ist eine eigene, strafbewehrte Anforderung. Wenn Sie einem solchen Beruf angehören, sprechen Sie uns unter contact@kagenda.com an, damit wir die entsprechende Vereinbarung abschließen, und klären Sie Ihre Pflichten mit Ihrer Kammer.

3. Unsere Auftragsverarbeiter

Jeder erhält nur Zugang zu dem, was er braucht, und nur zum angegebenen Zweck.

Anbieter	Was er sieht	Wozu	Wo
Vercel	Die aufgerufenen Seiten	Die Oberfläche und die Buchungsseiten ausliefern	USA
Railway	Sämtliche Anwendungsdaten	Server und Datenbank hosten	USA
Stripe	Name, E-Mail, Beträge	Die Abonnements von Kagenda und die Zahlungen der Kundschaft im Namen der Fachkraft einziehen	USA / Irland
Resend	Empfänger und Inhalt der E-Mails	Bestätigungen und Erinnerungen versenden	USA
Twilio	Nummer und Inhalt der SMS	SMS-Erinnerungen versenden, wenn die Fachkraft Guthaben erworben hat	USA
Google	Titel, Datum und Dauer der synchronisierten Termine	Den Kalender der Fachkraft synchronisieren, wenn sie ihn verbunden hat	USA
Zoom	Datum und Dauer des Termins	Einen Videolink erzeugen, wenn die Fachkraft das gewählt hat	USA

Übermittlungen außerhalb der Europäischen Union stützen sich auf die Standardvertragsklauseln der Europäischen Kommission, ergänzt um die eigenen Zusagen der jeweiligen Anbieter.

Was es nicht gibt: kein Analysewerkzeug, kein Werbepixel, kein eingebettetes soziales Netzwerk. Die Schrift der Website wird von unseren eigenen Servern ausgeliefert, nicht von denen eines Dritten.

4. Cookies und lokaler Speicher

Kagenda setzt kein Cookie.

Im lokalen Speicher des Browsers der Fachkraft wird nur eine Information aufbewahrt: das Token, das sie angemeldet hält. Es verschwindet beim Abmelden. Es ist nur für die Domain von Kagenda lesbar und dient zu nichts anderem als zum Öffnen einer Sitzung.

Eine von einem Kunden aufgerufene Buchungsseite speichert nichts.

5. Wie lange

Daten	Frist
Aktives Konto einer Fachkraft	Für die Dauer des Abonnements
Gekündigtes Konto	12 Monate, danach endgültige Löschung
Buchungen und Kundenbestand	Solange die Fachkraft sie behält; sie kann sie jederzeit löschen
Buchhaltungsunterlagen (Abonnementrechnungen)	10 Jahre, gesetzliche Pflicht
Technische Protokolle	12 Monate
Versandte E-Mails und SMS	90 Tage, danach bleibt nur das Ereignis erhalten

6. Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Datenübertragbarkeit.

• Sie sind eine Fachkraft, die Kagenda nutzt: schreiben Sie an contact@kagenda.com. Wir antworten innerhalb von 30 Tagen.
• Sie sind Kundin oder Kunde einer Fachkraft: wenden Sie sich an diese Fachkraft, die allein über Ihre Daten entscheidet. Wenn Sie sie nicht ausfindig machen können, schreiben Sie uns, und wir stellen den Kontakt her.

Sie können sich jederzeit bei einer Aufsichtsbehörde beschweren. Da der Verantwortliche in Frankreich niedergelassen ist, ist die federführende Behörde die CNIL, 3 place de Fontenoy, 75007 Paris — cnil.fr. Artikel 77 der Datenschutz-Grundverordnung erlaubt Ihnen in jedem Fall, sich an die Behörde Ihres Aufenthaltsstaats zu wenden: in Deutschland ist das die Landesdatenschutzbehörde Ihres Bundeslands, für Beschäftigte des Bundes und für Telekommunikationsdienste die oder der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit.

7. Sicherheit

Passwörter werden gehasht gespeichert, niemals im Klartext. Die Übertragung erfolgt verschlüsselt. Der Zugang zur Produktionsdatenbank ist auf die Personen beschränkt, die ihn brauchen — heute nur auf den Inhaber.

Bei einer Datenschutzverletzung mit Risiko für die betroffenen Personen informieren wir die Aufsichtsbehörde innerhalb von 72 Stunden und die betroffenen Fachkräfte unverzüglich.

8. Änderungen

Jede wesentliche Änderung wird den nutzenden Fachkräften mindestens 30 Tage vor Inkrafttreten per E-Mail angekündigt.