Datenschutz

Datenschutzerklärung

(Stand 01.11.2026)

Der Schutz Ihrer personenbezogenen Daten ist uns wichtig. Diese Datenschutzerklärung gilt für unsere Websites www.malinka-hamburg.de und laser.malinka-hamburg.de. Unsere Websites können grundsätzlich ohne Registrierung besucht werden; dabei werden zu statistischen Zwecken Daten wie aufgerufene Seiten, Datum und Uhrzeit auf dem Server gespeichert (siehe Ziffer 4), ohne dass diese unmittelbar auf Ihre Person bezogen werden. Personenbezogene Daten (z. B. Name, Adresse, E-Mail) erheben wir nur, soweit Sie diese freiwillig – etwa bei einer Terminbuchung oder Kontaktaufnahme – angeben. Nachfolgend informieren wir Sie über die Verarbeitung Ihrer Daten und Ihre Rechte.

1. Verantwortlicher

Malinka GmbH · Bahrenfelder Straße 43, 22765 Hamburg · Tel. +49 (40) 532 743 44 · post@malinka-hamburg.de · Geschäftsführer: Alina Messaadi und Igor Maas · Amtsgericht Hamburg, HRB 147049.

2. Allgemeines

Wir verarbeiten personenbezogene Daten nur im Rahmen der gesetzlichen Bestimmungen (DSGVO, BDSG, TDDDG). Rechtsgrundlagen: Einwilligung (Art. 6 Abs. 1 lit. a), Vertrag/vorvertraglich (lit. b), rechtliche Verpflichtung (lit. c), berechtigtes Interesse (lit. f).

3. Ihre Rechte

Auskunft (Art. 15), Berichtigung (16), Löschung (17), Einschränkung (18), Datenübertragbarkeit (20), Widerspruch (21). Einwilligungen sind jederzeit widerrufbar (Art. 7 Abs. 3) – Nachricht an post@malinka-hamburg.de oder über „Cookie-Einstellungen“ im Fußbereich der Website. Beschwerderecht bei der Aufsichtsbehörde: Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, Ludwig-Erhard-Str. 22, 20459 Hamburg.

4. Hosting, Server-Logfiles und Schriftarten

Website-Hosting beider Websites: DigitalOcean, LLC (USA; Serverstandort Frankfurt am Main), auf Basis eines AV-Vertrags mit EU-Standardvertragsklauseln; für die schnelle Auslieferung setzt DigitalOcean ein Content-Delivery-Netzwerk ein. E-Mail/Domain zusätzlich über DomainFactory GmbH, Ismaning. Beim Seitenaufruf werden Server-Logfiles gespeichert (gekürzte IP, Datum/Uhrzeit, Seite, Datenmenge, Browser, Referrer). Zweck: Betrieb/Sicherheit. Rechtsgrundlage: Art. 6 Abs. 1 lit. f. Dienstleister = Auftragsverarbeiter.
Schriftarten werden von unserem eigenen Server geladen; eine Verbindung zu Google Fonts oder anderen Schriftanbietern findet nicht statt.

5. Cookies und Einwilligungsverwaltung (Cookiebot)

Consent-Manager Cookiebot der Usercentrics A/S, Kopenhagen (speichert anonymisierte IP, Einwilligungsstatus, Zeitstempel; Speicherdauer der Einwilligung 12 Monate). Notwendige Cookies: § 25 Abs. 2 TDDDG / Art. 6 Abs. 1 lit. f. Alle nicht notwendigen Dienste (Analyse/Werbung) werden erst nach Ihrer aktiven Einwilligung geladen (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a). Ihre Auswahl können Sie jederzeit über „Cookie-Einstellungen“ im Fußbereich der Website ändern oder widerrufen.

6. Online-Terminbuchung

(a) Buchung über www.malinka-hamburg.de (Shore): Shore GmbH, München. Verarbeitet: Vor-/Nachname, E-Mail, Mobiltelefon, Anschrift/PLZ/Ort, Behandlung, Termin, besondere Wünsche – zur Terminvereinbarung/-durchführung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b. Shore = Auftragsverarbeiter.

(b) Buchung über laser.malinka-hamburg.de: Termine für Laser-Beratung und Laser-Behandlung buchen Sie über unser eigenes Kundenverwaltungssystem (CRM). Verarbeitet werden: Vor-/Nachname, E-Mail, Mobiltelefon, freiwillig Anschrift/PLZ/Ort und besondere Wünsche, gewählte Leistung, Termin und Behandlerin, Ihre Newsletter-Einwilligung (mit Zeitpunkt und Wortlaut) sowie die Herkunft Ihres Besuchs (siehe Absatz c). Zweck: Terminvereinbarung, Bestätigung, Erinnerung, Umbuchung und Stornierung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b. Das CRM wird bei DigitalOcean, LLC (Serverstandort Frankfurt am Main) betrieben, die Datenbank bei Supabase, Inc. (USA; Serverstandort Frankfurt am Main) auf Basis von EU-Standardvertragsklauseln. Der Termin wird in unseren Terminkalender bei Shore GmbH, München, übertragen. Buchungsbestätigung und Links zum Umbuchen oder Stornieren erhalten Sie per E-Mail (Versand über unseren E-Mail-Anbieter DomainFactory GmbH, Ismaning) und per SMS (siehe Ziffer 10). Alle Dienstleister sind Auftragsverarbeiter.

(c) Herkunft des Besuchs: Kommen Sie über eine Anzeige oder einen Kampagnen-Link auf laser.malinka-hamburg.de, enthält die Adresse Kennungen wie gclid, gbraid, wbraid, fbclid oder utm-Parameter. Buchen Sie während dieses Besuchs einen Termin, speichern wir diese Kennungen zusammen mit der Startseite und der verweisenden Seite (Referrer) bei Ihrer Buchung im CRM. Zweck: Feststellen, über welche Werbung Buchungen zustande kommen, und Messung des Werbeerfolgs. Rechtsgrundlage: Art. 6 Abs. 1 lit. f. Ohne Ihre Einwilligung werden die Kennungen nicht auf Ihrem Endgerät gespeichert. Haben Sie in Marketing eingewilligt, speichern wir sie zusätzlich bis zu 90 Tage in Ihrem Browser (localStorage), damit auch eine Buchung bei einem späteren Besuch zugeordnet werden kann (Art. 6 Abs. 1 lit. a, § 25 Abs. 1 TDDDG); bei Widerruf wird dieser Eintrag gelöscht.

(d) Schutz vor Missbrauch (Friendly Captcha): Das Buchungsformular auf laser.malinka-hamburg.de schützen wir mit Friendly Captcha der Friendly Captcha GmbH, Am Anger 3-5, 82237 Wörthsee, vor automatisierten Programmen („Bots“). Sobald Sie im Formular mit der Eingabe beginnen, löst Ihr Browser im Hintergrund eine Rechenaufgabe; Bilder erkennen oder Rätsel lösen müssen Sie nicht. Dabei überträgt Ihr Browser Verbindungs-, Umgebungs-, Interaktions- und Funktionsdaten an Friendly Captcha. Friendly Captcha schätzt daraus ein, ob die Eingabe von einem Menschen oder einem Bot stammt. Das Ergebnis geht mit Ihrer Buchung an unser CRM, das es bei Friendly Captcha auf Gültigkeit prüft. Daten, die Sie identifizieren könnten, etwa Ihre IP-Adresse, werden durch Einweg-Hashing anonymisiert. Friendly Captcha setzt keine Cookies, speichert nichts dauerhaft in Ihrem Browser und nutzt die Daten weder zu Ihrer Identifizierung noch für Werbung. Je nach Ihrem Standort kann die Anfrage auch von Servern außerhalb der EU beantwortet werden (siehe Ziffer 16). Zweck: Schutz der Terminbuchung vor automatisierten Falschbuchungen und Spam. Rechtsgrundlage: Art. 6 Abs. 1 lit. f. Weitere Informationen: Datenschutzinformation von Friendly Captcha

7. Kontaktaufnahme

Wenn Sie uns per E-Mail, Telefon oder WhatsApp kontaktieren, verarbeiten wir Ihre Angaben zur Bearbeitung der Anfrage. Bei Kontakt über WhatsApp erfolgt die Verarbeitung über die in Ziffer 9 genannten Dienste. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vertragsbezogene Anfragen) bzw. lit. f (berechtigtes Interesse).

rapidmail GmbH, Freiburg (Serverstandort DE). Die Anmeldung erfolgt über ein nicht vorausgewähltes Kontrollkästchen, z. B. bei der Terminbuchung, mit Double-Opt-in. Verarbeitet: E-Mail-Adresse und Name, Zeitpunkt und Wortlaut der Einwilligung. Öffnungs-/Klick-Statistik. Rechtsgrundlage: Art. 6 Abs. 1 lit. a. Jederzeit abbestellbar. rapidmail ist Auftragsverarbeiter. Bei entsprechender Einwilligung versenden wir werbliche Nachrichten (Angebote, Aktionen, Beauty-Tipps) nicht nur per E-Mail, sondern auch per WhatsApp (siehe Ziffer 9).

9. Kommunikation per WhatsApp

Wir nutzen WhatsApp für zwei Zwecke:
(a) Terminbezogene Kommunikation (Bestätigung, Erinnerung, Änderungen) – Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung).
(b) Werbliche Nachrichten (Angebote/Aktionen) – nur bei ausdrücklicher Einwilligung, Art. 6 Abs. 1 lit. a DSGVO; jederzeit widerrufbar (z. B. „STOP“).
Technischer Dienstleister: 360dialog GmbH, Berlin; Versand über die WhatsApp Business Platform der Meta Platforms Ireland Ltd. (Drittland-Übermittlung u. a. USA möglich). Verarbeitet: Mobilfunknummer, Nachrichteninhalt. Über den WhatsApp-Button auf unseren Websites öffnen Sie WhatsApp mit einer vorbereiteten Nachricht; vor dem Klick werden keine Daten an WhatsApp übertragen.

10. Terminbenachrichtigungen per SMS (seven.io)

seven communications GmbH & Co. KG, Bremen (Serverstandort DE). Verarbeitet: Mobilfunknummer, Nachrichteninhalt. Rechtsgrundlage: Art. 6 Abs. 1 lit. a bzw. lit. b. Auftragsverarbeiter.

11. Reichweitenmessung ohne Cookies (Plausible Analytics)

Auf laser.malinka-hamburg.de nutzen wir Plausible Analytics der Plausible Insights OÜ, Tartu (Estland), Serverstandort EU. Plausible setzt keine Cookies, speichert nichts auf Ihrem Endgerät und erstellt keine Nutzerprofile. Erfasst werden aufgerufene Seiten, Verweisquelle, Kampagnenparameter, Land, Gerätetyp, Browser sowie Schritte der Terminbuchung (z. B. Buchung begonnen, Termin gewählt, Buchung abgeschlossen mit Buchungswert) – ohne Namen, E-Mail-Adressen oder Telefonnummern. Die IP-Adresse wird nur kurzzeitig zur Bildung einer täglich wechselnden, anonymen Kennung verwendet und nicht gespeichert. Zweck: Statistik und Verbesserung unserer Website und Buchungsstrecke. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; § 25 Abs. 2 TDDDG. Plausible ist Auftragsverarbeiter.

12. Webanalyse und Online-Werbung (nur nach Einwilligung, Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG)

Die folgenden Dienste werden erst geladen, nachdem Sie eingewilligt haben; vorher werden keine Daten an diese Anbieter übertragen.
(a) Google Analytics 4 (Google Ireland Ltd., Dublin) – nur mit Einwilligung in Statistik. Nutzungsanalyse, IP gekürzt, USA-Übermittlung möglich (Data Privacy Framework). Wir haben Google Signals aktiviert: Sind Sie in Ihrem Google-Konto angemeldet und haben dort personalisierte Werbung erlaubt, kann Google Ihre Nutzung geräteübergreifend zuordnen. Google Analytics ist mit Google Ads verknüpft, um Zielgruppen für Werbung zu bilden.
(b) Google Ads (Google Ireland Ltd.) – nur mit Einwilligung in Marketing. Conversion-Messung und Remarketing. Bei einer Terminbuchung über laser.malinka-hamburg.de übermitteln wir im Rahmen der „erweiterten Conversions“ Ihre E-Mail-Adresse und Mobilfunknummer ausschließlich in gehashter (pseudonymisierter) Form an Google, damit Google die Buchung einer Anzeige zuordnen kann. Die Daten werden bereits in Ihrem Browser verschlüsselt (SHA-256).
(c) Meta-Pixel / Facebook- & Instagram-Ads (Meta Platforms Ireland Ltd.) – nur mit Einwilligung in Marketing. Werbemessung/-ausspielung und Remarketing, inkl. Messung von Terminbuchungen. USA-Übermittlung möglich (DPF).

Profile auf Instagram, Facebook (Meta), LinkedIn und TikTok. Für Facebook/Instagram setzen wir zusätzlich den Meta-Pixel auf unserer Website ein (Details in Ziffer 12). Für TikTok setzen wir kein Pixel/Tracking ein – TikTok nutzen wir ausschließlich organisch (Profil). Für Facebook-/Instagram-Insights besteht gemeinsame Verantwortlichkeit mit Meta (Art. 26). Rechtsgrundlage: Art. 6 Abs. 1 lit. f. Es gelten zusätzlich die Datenschutzhinweise der Plattformen.

14. Links zu Google Maps

Für die Anfahrt verlinken wir auf Google Maps. Es ist keine Karte eingebettet; Daten werden erst an Google übertragen, wenn Sie den Link anklicken und Google Maps öffnen. Dann gelten die Datenschutzhinweise von Google.

15. Auslieferung von Mediendateien (AWS)

Amazon Web Services EMEA SARL, Luxemburg – Auslieferung von Bild-/Mediendateien (IP technisch bedingt verarbeitet). Keine Kundenfotos. Rechtsgrundlage: Art. 6 Abs. 1 lit. f. Auftragsverarbeiter.

16. Datenübermittlung in Drittländer

Einige der genannten Dienste verarbeiten Daten außerhalb der EU/des EWR (u. a. USA). Soweit dort kein durch Angemessenheitsbeschluss anerkanntes Schutzniveau besteht, stützen wir die Übermittlung auf geeignete Garantien nach Art. 46 DSGVO (insb. EU-Standardvertragsklauseln) bzw. auf eine Zertifizierung unter dem EU-US Data Privacy Framework (z. B. Google, Meta).

17. Speicherdauer

Nur solange erforderlich bzw. gesetzliche Aufbewahrungsfristen (i. d. R. 6–10 Jahre); danach Löschung/Sperrung. Kampagnen-Kennungen im Browser (nur mit Einwilligung): höchstens 90 Tage.

18. Datensicherheit

Wir treffen technische und organisatorische Maßnahmen zum Schutz Ihrer Daten gegen Verlust, Manipulation und unbefugten Zugriff – u. a. TLS-/SSL-Verschlüsselung der Datenübertragung, zugriffsbeschränkte Systeme und regelmäßige Überprüfung unserer Maßnahmen. Bitte beachten Sie, dass die Datenübertragung im Internet (z. B. per E-Mail) Sicherheitslücken aufweisen kann; ein lückenloser Schutz vor Zugriff Dritter ist nicht möglich.

19. Automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung im Sinne des Art. 22 DSGVO findet nicht statt.

20. Änderungen

Es gilt die jeweils aktuelle, hier veröffentlichte Fassung.