Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Nizar Djassim
Wilhelm-Marx-Str. 52
90419 Nürnberg
Deutschland
E-Mail: contact@nizar-web.de

Ein Datenschutzbeauftragter ist nach § 38 Abs. 1 BDSG nicht zu benennen, da nicht mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind.

2. Geltungsbereich und Rollenverteilung

Diese Erklärung gilt für die Website tymbo.de einschließlich ihrer Sprachversionen, für die Anwendung unter app.tymbo.desowie für die öffentlichen Buchungs- und Unternehmensseiten unterbook.tymbo.de/….

Dabei sind zwei Rollen zu unterscheiden.

Verantwortlicher bin ich für alle Daten, die ich zu eigenen Zwecken verarbeite: den Besuch der Website, Kontaktanfragen, die Registrierung und Verwaltung der Konten von Geschäftskunden, die Abrechnung und die Reichweitenmessung.

Auftragsverarbeiter nach Art. 28 DSGVO bin ich für die Daten, die Geschäftskunden über Tymbo verarbeiten — insbesondere die Termin- und Kontaktdaten ihrer eigenen Kundschaft. Verantwortlich für diese Daten ist das jeweilige Unternehmen, das die Buchungsseite betreibt. Wenn du bei einem Unternehmen über Tymbo einen Termin gebucht hast und Auskunft, Berichtigung oder Löschung möchtest, wende dich bitte an dieses Unternehmen; sein Impressum findest du auf seiner Tymbo-Seite. Entsprechende Anfragen leite ich selbstverständlich weiter.

Mit jedem Geschäftskunden wird ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen.

3. Hosting und Infrastruktur

Website, Anwendung, Datenbank, Dateispeicher und Backups werden auf Servern der

Hetzner Online GmbH
Industriestr. 25
91710 Gunzenhausen

in deren Rechenzentrum in Falkenstein (Sachsen, Deutschland) betrieben. Eingesetzt werden ein PostgreSQL-Datenbanksystem sowie ein S3-kompatibler Objektspeicher für hochgeladene Dateien wie Logos und Titelbilder. Die Bereitstellung erfolgt über die selbst betriebene Open-Source-Software Coolify; eine Übermittlung an einen Plattformanbieter findet dabei nicht statt.

Mit der Hetzner Online GmbH besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Eine Übermittlung in ein Drittland findet beim Hosting nicht statt.

Die Verwaltung der Domain und der DNS-Einträge erfolgt über Hostinger. Dabei fallen keine Inhaltsdaten an.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO — mein berechtigtes Interesse an einem sicheren und zuverlässigen Betrieb — sowie, soweit ein Vertragsverhältnis besteht, Art. 6 Abs. 1 lit. b DSGVO.

4. Server-Logfiles

Bei jedem Aufruf werden automatisch Daten erfasst, die dein Browser übermittelt und die technisch erforderlich sind, um die Seite auszuliefern:

• IP-Adresse
• Datum und Uhrzeit des Zugriffs
• aufgerufene Adresse und übertragene Datenmenge
• HTTP-Statuscode
• verweisende Seite
• Browsertyp, Browserversion und Betriebssystem

Diese Daten werden nicht mit anderen Datenquellen zusammengeführt und dienen ausschließlich dem Betrieb, der Fehlersuche und der Abwehr von Angriffen. Sie werden nach 14 Tagen automatisch gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

5. Cookies, lokale Speicherung und Einwilligungsverwaltung

Beim ersten Aufruf wird ein Einwilligungsbanner angezeigt, über das du selbst entscheidest, welche einwilligungspflichtigen Dienste geladen werden. Dienste, die Cookies setzen oder sonst etwas auf deinem Endgerät speichern, ohne für den Betrieb erforderlich zu sein, werden erst nach deiner Einwilligung geladen — ohne Einwilligung wird der jeweilige Dienst nicht aufgerufen.

Notwendig. Sitzungsverwaltung, Anmeldung, Sicherheit und das Speichern deiner Cookie-Entscheidung. Diese Speicherung ist nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei, weil sie für den von dir gewünschten Dienst unbedingt erforderlich ist. Rechtsgrundlage für die anschließende Verarbeitung: Art. 6 Abs. 1 lit. b beziehungsweise lit. f DSGVO.

Funktional. Einstellungen wie Sprache und Darstellung. Nur mit Einwilligung nach § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO.

Statistik. Dieser Kategorie ist derzeit kein Dienst zugeordnet. Die Reichweitenmessung mit Umami setzt keine Cookies, braucht deshalb keine Einwilligung und läuft unabhängig von deiner Auswahl im Banner, siehe Abschnitt 11.

Deine Entscheidung wird zwölf Monate gespeichert und gilt fürtymbo.de und app.tymbo.de gemeinsam. Du kannst sie jederzeit über den Link „Cookie-Einstellungen“ in der Fußzeile mit Wirkung für die Zukunft ändern oder widerrufen.

6. Kontaktaufnahme

Wenn du mir über das Kontaktformular oder per E-Mail schreibst, verarbeite ich die von dir angegebenen Daten — mindestens Name, E-Mail-Adresse und den Inhalt deiner Nachricht — zur Bearbeitung deiner Anfrage.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bei Anfragen mit Vertragsbezug, sonst Art. 6 Abs. 1 lit. f DSGVO.

Die Daten werden nach abschließender Bearbeitung sechs Monate aufbewahrt und anschließend gelöscht. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

7. Empfehlungscodes

Rufst du die Website mit einem Empfehlungslink auf (tymbo.de/?ref=CODE), wird der Code ausschließlich an den Link zur Anwendung angehängt. Es wird dafür kein Cookie gesetzt und nichts in deinem Browser gespeichert; eine Einwilligung nach § 25 TDDDG ist deshalb nicht erforderlich. Erst wenn du dich in der Anwendung registrierst, wird der Code deinem Konto zugeordnet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

8. Nutzerkonto und Nutzung der Anwendung

Für die Nutzung von Tymbo als Anbieter legst du ein Konto an. Verarbeitet werden:

• Name und E-Mail-Adresse
• Zugangsdaten; das Passwort wird ausschließlich als kryptografischer Hash gespeichert und ist für mich nicht lesbar
• Angaben zum Unternehmen: Bezeichnung, Kategorie, Anschrift, Logo, Titelbild, Farbwahl und Adresse der öffentlichen Seite
• angelegte Leistungen mit Dauer und Preis
• Arbeitszeiten und Verfügbarkeiten
• eingeladene Teammitglieder und deren Verknüpfung mit eigenen Konten
• Zeitpunkt der letzten Anmeldung sowie technische Protokolldaten zur Sicherheit

Anschrift und Kontaktdaten, die du für Impressum und Datenschutzerklärung deiner Tymbo-Seite hinterlegst, werden auf dieser Seite öffentlich angezeigt. Das ist gesetzlich vorgeschrieben und Voraussetzung für die Veröffentlichung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Die Daten werden für die Dauer des Vertragsverhältnisses gespeichert. Nach Löschung des Kontos werden sie innerhalb von 30 Tagen gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen; für abrechnungsrelevante Unterlagen gelten nach § 147 AO und § 257 HGB Fristen von bis zu zehn Jahren. Verschlüsselte Backups werden nach 30 Tagen überschrieben.

9. Terminbuchungen

Buchst du bei einem Unternehmen über Tymbo einen Termin, werden Name, E-Mail-Adresse, die gewählte Leistung, der Zeitpunkt und gegebenenfalls die von dir gewählte Person verarbeitet, außerdem eine Telefonnummer und eine Notiz, falls du sie freiwillig angibst — die Telefonnummer sieht nur das Unternehmen, damit es dich zu diesem Termin erreichen kann. Zur Bestätigung erhältst du eine E-Mail mit einem Bestätigungslink (Versand über Brevo, siehe Abschnitt 10); bis zur Bestätigung wird der Termin vorgemerkt. Ein Kundenkonto ist nicht erforderlich.

Verantwortlich für diese Daten ist das buchende Unternehmen; ich verarbeite sie ausschließlich weisungsgebunden als Auftragsverarbeiter (siehe Abschnitt 2).

10. E-Mail-Versand über Brevo

Alle E-Mails, die Tymbo verschickt, versende ich über den Dienst Brevo der Sendinblue SAS, 17 rue Salneuve, 75017 Paris, Frankreich („Brevo“). Die Nachrichten werden von meinem Server direkt an die Schnittstelle von Brevo übergeben; auf der Website, in der Anwendung und auf den Unternehmensseiten wird dafür nichts von Brevo in deinem Browser geladen.

Über Brevo laufen insbesondere:

• Bestätigung der E-Mail-Adresse, Willkommensnachricht, Passwort setzen und zurücksetzen sowie die Bestätigung einer Kontolöschung
• Einladungen an Teammitglieder und Nachrichten zu Abwesenheitsanträgen
• Buchungsbestätigungen, Bestätigungslinks für Gastbuchungen, Absagen und Hinweise, wenn ein Termin einer anderen Person zugewiesen wurde
• Nachrichten aus dem Kontaktformular und Anfragen zur persönlichen Einrichtung — diese werden an mein eigenes Postfach zugestellt
• Anmelde- und Freischaltungsnachrichten im Partnerprogramm

Verarbeitet werden dabei Name und E-Mail-Adresse der angeschriebenen Person, Betreff und Inhalt der Nachricht — je nach Anlass etwa Datum, Uhrzeit und Leistung eines Termins, der Name des Unternehmens oder ein Bestätigungslink —, bei Kontaktanfragen zusätzlich deine Adresse als Antwortadresse, sowie technische Versanddaten wie Versandzeitpunkt, Zustellstatus und Rückläufer. Brevo nutzt diese Versanddaten, um die Zustellung sicherzustellen und Missbrauch zu verhindern, und löscht sie nach Ablauf der eigenen Speicherfristen.

Newsletter oder Werbe-E-Mails versende ich nicht. Öffnungs- und Klickraten werte ich nicht aus und nutze sie nicht zur Bildung von Profilen.

Mit Brevo besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Nach eigenen Angaben speichert Brevo die Daten in Rechenzentren innerhalb der Europäischen Union. Soweit Konzerngesellschaften oder Unterauftragsverarbeiter von Brevo außerhalb der EU — etwa für Support oder Wartung — Zugriff auf Daten erhalten können, ist dieser Zugriff durch die Standardvertragsklauseln der EU-Kommission nach Art. 46 Abs. 2 lit. c DSGVO abgesichert.

E-Mails zu Terminbuchungen versende ich im Auftrag des jeweiligen Unternehmens; Brevo ist dafür mein Unterauftragsverarbeiter (siehe Abschnitt 2).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Nachricht für einen Vertrag oder dessen Anbahnung erforderlich ist — etwa die Bestätigung deines Kontos oder deiner Buchung. Im Übrigen, etwa bei der Zustellung von Kontaktanfragen, ist es Art. 6 Abs. 1 lit. f DSGVO; mein berechtigtes Interesse liegt in einer zuverlässigen und sicheren Zustellung.

Weitere Informationen:brevo.com/legal/privacypolicy

11. Reichweitenmessung mit Umami

Für die Reichweitenmessung setze ich Umami ein — eine Open-Source-Software, die ich selbst hoste, auf demselben Server in Falkenstein wie die übrige Anwendung. Es findet keine Übermittlung an einen Analyse-Anbieter und keine Übermittlung in ein Drittland statt.

Umami setzt keine Cookies und speichert nichts auf deinem Endgerät. Erfasst werden ausschließlich zusammengefasste Angaben: aufgerufene Seite, verweisende Seite, ungefähre Herkunft auf Länderebene, Gerätetyp, Browser und Bildschirmgröße. Deine IP-Adresse wird nur zur Ermittlung dieser Angaben verarbeitet und nicht gespeichert; es entsteht kein seitenübergreifendes Profil und kein Wiedererkennen an einem späteren Tag.

Die Messung läuft auf der Website und in der Anwendung, nicht jedoch auf den Unternehmensseiten unter book.tymbo.de. In der Anwendung werden die aufgerufenen Adressen vor der Übermittlung gekürzt: Kennungen von Unternehmen, Teammitgliedern oder Leistungen werden durch Platzhalter ersetzt, und außer Kampagnen- und Empfehlungsparametern werden keine Adressparameter übermittelt. Erfasst wird also nur, welche Ansicht geöffnet wurde, nicht für wen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Mein berechtigtes Interesse liegt darin, zu verstehen, welche Seiten und Ansichten genutzt werden, um das Angebot zu verbessern — mit einem Verfahren, das niemanden wiedererkennt und keine Daten an Dritte gibt. Weil Umami nichts auf deinem Endgerät speichert, ist eine Einwilligung nach § 25 Abs. 1 TDDDG nicht erforderlich. Das Messskript wird deshalb bei jedem Aufruf vonanalytics.tymbo.de geladen, unabhängig davon, was du im Einwilligungsbanner auswählst.

Dein Widerspruchsrecht nach Art. 21 DSGVO besteht auch hier, siehe Abschnitt 15.

12. Google Search Console

Ich nutze die Google Search Console, um die Sichtbarkeit der Website in der Google-Suche auszuwerten. Der Nachweis der Inhaberschaft erfolgt über einen DNS-Eintrag. Es wird kein Skript in die Website eingebunden; ich erhalte ausschließlich zusammengefasste Auswertungen aus Googles eigenen Suchdaten, die keinen Rückschluss auf einzelne Personen zulassen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

13. Zahlungsabwicklung (Stripe)

Für kostenpflichtige Abonnements setze ich Stripe ein (Stripe Payments Europe, Ltd., Irland; Mutterunternehmen Stripe, Inc., USA). Beim Abschluss eines Abos werden die dafür nötigen Daten an Stripe übermittelt — insbesondere E-Mail-Adresse, Rechnungs- und gegebenenfalls Umsatzsteuerdaten sowie die Zahlungsdaten, die du direkt bei Stripe eingibst. Vollständige Kartendaten und SEPA-Mandatsdaten erreichen meine Server nicht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Soweit dabei Daten in die USA übermittelt werden, stützt sich die Übermittlung auf die Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO in Verbindung mit der Zertifizierung von Stripe, Inc. unter dem EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023).

Auf der Website selbst wird kein Stripe-Skript geladen; die Zahlung findet erst nach einer bewussten Weiterleitung in der Anwendung statt.

Weitere Informationen:stripe.com/de/privacy

14. Empfänger im Überblick

Darüber hinaus gebe ich Daten weiter, soweit ich gesetzlich dazu verpflichtet bin oder es zur Durchsetzung von Ansprüchen erforderlich ist, etwa an Steuerberatung oder Rechtsvertretung.

15. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO).

Widerspruchsrecht. Soweit ich Daten auf Grundlage eines berechtigten Interesses nach Art. 6 Abs. 1 lit. f DSGVO verarbeite, kannst du dieser Verarbeitung aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen.

Widerruf von Einwilligungen. Erteilte Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt davon unberührt.

Beschwerderecht. Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren. Die für mich zuständige Behörde ist:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 27, 91522 Ansbach
www.lda.bayern.de

Für Anliegen zu deinen Rechten genügt eine formlose Nachricht ancontact@nizar-web.de.

16. Automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet nicht statt. Die automatische Zuweisung eines freien Teammitglieds bei der Buchung („beliebige Person“) erfolgt allein anhand der hinterlegten Verfügbarkeiten und entfaltet dir gegenüber keine rechtliche Wirkung.

17. Datensicherheit

Die Übertragung erfolgt durchgehend verschlüsselt über TLS. Passwörter werden ausschließlich als Hash gespeichert. Der Zugriff auf die Systeme ist auf die notwendigen Personen beschränkt. Backups werden verschlüsselt und ausschließlich innerhalb der Europäischen Union gespeichert.

18. Erforderlichkeit der Bereitstellung

Die bei Registrierung und Buchung abgefragten Daten sind für den Vertragsschluss erforderlich. Ohne sie kann kein Konto angelegt und kein Termin gebucht werden. Alle übrigen Angaben sind freiwillig.

19. Änderungen dieser Erklärung

Ich passe diese Datenschutzerklärung an, wenn sich die Verarbeitung oder die Rechtslage ändert.

Stand: Oktober 2026