Datenschutzerklärung

TattooOrbit — eine Marke der InnovaDrive UG (haftungsbeschränkt)

Wir betreiben eine Software, die Tattoo-Studios für ihre eigene Kundenbeziehung einsetzen. Für die Daten, die ein Studio über seine Kunden in unserer Software verarbeitet, ist das Studio verantwortlich, nicht wir — wir sind dort Auftragsverarbeiter. Diese Erklärung betrifft die Verarbeitungen, die wir selbst zu verantworten haben. Abschnitt 8 sagt, was für Endkunden eines Studios gilt; Abschnitt 9 ergänzt das für den Einsatz künstlicher Intelligenz.

1. Verantwortlicher

InnovaDrive UG (haftungsbeschränkt)
Weierstraße 35, 50354 Hürth, Deutschland
Vertreten durch den Geschäftsführer: Tobias Leyendecker
Amtsgericht Köln, HRB 127798
E-Mail: info@innovadrive.de
Telefon: +49 151 11041073

TattooOrbit ist eine Marke der InnovaDrive UG (haftungsbeschränkt).

2. Datenschutzbeauftragter

Ein Datenschutzbeauftragter ist nicht benannt. Für alle Fragen zum Datenschutz und zur Ausübung Ihrer Rechte erreichen Sie uns unter info@innovadrive.de oder postalisch unter der oben genannten Anschrift.

3. Für wen diese Erklärung gilt

• Besucher unserer Websites (tattoo-orbit.de, innovadrive.de): Abschnitt 4
• Interessenten, die uns kontaktieren oder die Live-Demo nutzen: Abschnitt 5
• Kunden (Tattoo-Studios) und Nutzer der Studio-Anwendung: Abschnitt 6
• Endkunden eines Studios: Abschnitte 8 und 9 — verantwortlich ist Ihr Studio

4. Besuch unserer Websites

4.1 Server-Protokolldaten

Beim Aufruf unserer Seiten werden technisch notwendige Daten verarbeitet: aufgerufene Adresse, Datum und Uhrzeit, übertragene Datenmenge, Meldung über den Erfolg des Abrufs, Browsertyp und -version, Betriebssystem und IP-Adresse.

• Zweck: Auslieferung der Seite, Betriebssicherheit, Abwehr von Angriffen
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse an einem sicheren und störungsfreien Betrieb
• Speicherdauer: 14 Tage auf unserem eigenen Server, danach automatisch gelöscht. Die Protokolle schreibt der Webserver auf dem von uns betriebenen Server; sie werden täglich rotiert und nicht an Dritte weitergegeben.

4.2 Cookies und lokale Speicherung

Wir setzen ausschließlich technisch notwendige Cookies und lokale Speicherung ein:

• Anmeldung an der Studio-Anwendung: Cookie mit einem Sitzungstoken; nur über verschlüsselte Verbindung und für Skripte im Browser nicht lesbar (httpOnly). Laufzeit 7 Tage.
• Aufrechterhaltung der Anmeldung: Cookie mit einem Erneuerungstoken; httpOnly, wird ausschließlich an die Erneuerungsadresse unserer Schnittstelle gesendet. Laufzeit 90 Tage.
• Schutz vor seitenübergreifender Anfragefälschung: Cookie mit einem zufälligen Prüfwert, den die Anwendung bei jeder Anfrage mitsenden muss und der deshalb für Skripte lesbar ist. Laufzeit 7 Tage; wird nur gesetzt, wenn dieser Schutz eingeschaltet ist.
• Bestätigung des Cookie-Hinweises: lokale Speicherung des Zeitpunkts der Bestätigung, bis zur Löschung des Browserspeichers.
• Oberflächeneinstellungen: lokale Speicherung, zum Beispiel gewählte Ansicht und Filter, bis zur Löschung des Browserspeichers.
• Gewählte Studio-Kennung: lokale Speicherung der Kennung des Studios, das Sie in der Anwendung ausgewählt haben; sie wird bei Anfragen an unsere Server mitgesendet, damit die Anwendung die Daten dieses Studios lädt. Bis zur Abmeldung oder zur Löschung des Browserspeichers.

Wir setzen keine Analyse-, Tracking- oder Marketing-Cookies ein. Es findet keine Reichweitenmessung durch Dritte, kein Retargeting und keine Profilbildung über unsere Websites statt.

• Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich für den von Ihnen ausdrücklich gewünschten Dienst); für die anschließende Verarbeitung Art. 6 Abs. 1 lit. b und lit. f DSGVO

4.3 Schriftarten und externe Inhalte

Die verwendeten Schriftarten stammen aus dem Angebot von Google Fonts, werden aber nicht zur Laufzeit von dort geladen: Die Schriftdateien werden beim Bauen der Anwendung einmalig heruntergeladen und liegen auf unseren eigenen Servern. Beim Besuch unserer Seiten geht deshalb keine Anfrage Ihres Browsers an Google; Ihre IP-Adresse wird dorthin nicht übertragen.

Weitere externe Inhalte — Zählpixel, Social-Media-Plugins, eingebettete Videos Dritter — binden wir nicht ein.

5. Kontaktaufnahme und Live-Demo

5.1 Kontaktanfragen

Nehmen Sie über das Kontaktformular, per E-Mail oder telefonisch Kontakt auf, verarbeiten wir Ihre Angaben zur Beantwortung.

• Daten: Name, Kontaktdaten, Inhalt der Anfrage
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bei vorvertraglichen Maßnahmen, sonst Art. 6 Abs. 1 lit. f DSGVO
• Speicherdauer: bis zur abschließenden Bearbeitung; danach nach den handels- und steuerrechtlichen Aufbewahrungsfristen, soweit einschlägig

5.2 Live-Demo

Auf unserer Website können Sie die KI-Assistentin unverbindlich ausprobieren. Dabei verarbeiten wir die von Ihnen eingegebenen Nachrichten, einen Hashwert Ihrer IP-Adresse — die IP-Adresse selbst wird nicht gespeichert — und einen Zähler der versendeten Nachrichten.

Der Hashwert dient ausschließlich der Begrenzung der Nutzung (eine begrenzte Zahl von Nachrichten je Sitzung und von Sitzungen je Tag). Ohne diese Begrenzung wären die Kosten der dahinterliegenden KI-Dienste nicht kontrollierbar.

Ihre Eingaben werden zur Erzeugung der Antwort an unseren KI-Dienstleister übermittelt (Abschnitt 7). Geben Sie in der Demo bitte keine personenbezogenen Daten und keine Gesundheitsangaben ein.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse an der Darstellung unseres Produkts und am Schutz vor missbräuchlicher Nutzung

6. Nutzung der Plattform durch Studios und deren Mitarbeiter

6.1 Kunden- und Nutzerdaten

• Firma, Anschrift, Ansprechpartner, E-Mail, Telefon — Begründung und Durchführung des Vertrags — Art. 6 Abs. 1 lit. b DSGVO
• Benutzerkonto: Name, E-Mail, Rolle, Passwort als Hashwert — Zugang zur Anwendung — Art. 6 Abs. 1 lit. b DSGVO
• Abrechnungsdaten: Ansprüche, Zahlungen, Guthaben, Rechnungen — Abrechnung und Buchführung — Art. 6 Abs. 1 lit. b und lit. c DSGVO
• Zahlungskonto des Studios: Kennung des verbundenen Stripe- bzw. PayPal-Kontos, bei PayPal zusätzlich Kontoname, primäre E-Mail-Adresse und Freigabestatus des Händlerkontos; beim Verbinden übermitteln wir die E-Mail-Adresse und die Kennung des Studios an den Zahlungsdienstleister. Bankdaten des Studios liegen ausschließlich beim Zahlungsdienstleister, nicht bei uns — Abwicklung der Endkundenzahlungen zugunsten des Studios, Einbehalt unserer Vergütung, Erstattungen — Art. 6 Abs. 1 lit. b DSGVO
• Meldedaten nach dem Plattformen-Steuertransparenzgesetz (PStTG): Rechtsform, Name, Anschrift, Steuer-Identifikationsnummer und ausstellender Staat, Umsatzsteuer-Identifikationsnummer, Handelsregisternummer, Ansässigkeitsstaat, Kennung des Finanzkontos, auf das gezahlt wird, bei natürlichen Personen das Geburtsdatum; je Quartal die Zahl der über die Plattform vermittelten Tätigkeiten, die gezahlten Vergütungen und die einbehaltenen Gebühren — Erfüllung unserer gesetzlichen Meldepflicht als Plattformbetreiber: jährliche Meldung an das Bundeszentralamt für Steuern bis zum 31. Januar des Folgejahres — Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit §§ 13, 14, 16–21 PStTG
• Prüfprotokolle sicherheitsrelevanter Vorgänge, einschließlich eines Hashwerts der IP-Adresse des handelnden Benutzers — die Adresse selbst wird seit dem 18.09.2026 nicht mehr gespeichert — Nachvollziehbarkeit, Missbrauchsabwehr — Art. 6 Abs. 1 lit. f DSGVO
• Nutzungsereignisse zur Auswertung der Anwendung — Betrieb und Verbesserung — Art. 6 Abs. 1 lit. f DSGVO
• Registrierungen für Push-Benachrichtigungen — Zustellung angeforderter Benachrichtigungen — Art. 6 Abs. 1 lit. a DSGVO

6.2 Speicherdauer

• Vertrags- und Stammdaten: für die Dauer des Vertrags; danach nach den gesetzlichen Aufbewahrungsfristen (regelmäßig sechs bzw. zehn Jahre, § 257 HGB, § 147 AO)
• Benutzerkonten: bis zur Löschung des Kontos, spätestens 30 Tage nach Vertragsende
• Prüfprotokolle: 12 Monate
• Nutzungsereignisse: 14 Monate
• Rechnungen und Zahlungsbelege: 10 Jahre (§ 147 Abs. 3 AO, § 14b UStG)
• Kennungen der verbundenen Zahlungskonten: für die Dauer des Vertrags; soweit sie in Zahlungs- und Abrechnungsbelegen enthalten sind, nach den dafür geltenden Fristen
• Meldedaten nach dem PStTG: nach den steuerrechtlichen Aufbewahrungsvorschriften (§ 24 PStTG, § 147 AO)
• Push-Registrierungen: bis zum Widerruf oder bis der Push-Dienst die Registrierung als ungültig meldet

7. Empfänger und Übermittlung in Drittländer

7.1 Dienstleister, die wir einsetzen

• IONOS SE, Montabaur (Deutschland): Bereitstellung des virtuellen Servers, auf dem Anwendung, Datenbank und Dateiablage laufen (Rechenzentrum Berlin); IONOS stellt nur die Infrastruktur und hat im Regelbetrieb keinen Zugriff auf die Inhalte
• Meta Platforms Ireland Limited (Irland, USA): Nachrichtenversand über die WhatsApp Business Platform, Werbeschnittstellen
• OpenAI Ireland Ltd. / OpenAI, L.L.C. (Irland, USA): Erzeugung der KI-Antworten; Analyse und Bearbeitung von Fotografien
• AIVORA PTE. LTD. („PixVerse") (Singapur, USA): Erzeugung von Videosequenzen, sofern die KI-Videofunktion eingesetzt wird
• Stripe Payments Europe, Limited (Irland, USA): Zahlungsabwicklung — Endkundenzahlungen zugunsten des Studios (Zahlungsempfänger ist das Studio) sowie Begleichung unserer Monatsrechnung durch das Studio
• PayPal (Europe) S.à r.l. et Cie, S.C.A. (Luxemburg, USA): Zahlungsabwicklung, sofern der Endkunde PayPal wählt (Zahlungsempfänger ist das Studio); Verbindung des PayPal-Händlerkontos des Studios
• Google Ireland Limited (EU, USA): Kalendersynchronisation, sofern verbunden
• ElevenLabs, Inc. (USA): Sprachsynthese, sofern aktiviert
• Twilio Ireland Limited (Irland, USA): Beschaffung verwalteter Rufnummern
• IONOS SE, Montabaur (Deutschland): E-Mail-Postfach und Versand von Benachrichtigungen, Zahlungserinnerungen und Mahnungen an Studios (Absender info@innovadrive.de)
• Steuerberater, Rechtsanwälte, Wirtschaftsprüfer (Deutschland): Erfüllung gesetzlicher Pflichten
• Bundeszentralamt für Steuern (Deutschland): Jahresmeldung nach dem Plattformen-Steuertransparenzgesetz — kein Auftragsverarbeiter, sondern Empfänger kraft Gesetzes

Die vollständige Aufstellung der Auftragsverarbeiter mit Datenarten und Übermittlungsgrundlagen halten wir als Anlage zu unserem Auftragsverarbeitungsvertrag bereit; wir stellen sie auf Anfrage zur Verfügung.

7.2 Drittlandübermittlung

Ein Teil der genannten Dienste verarbeitet Daten in den Vereinigten Staaten von Amerika. Diese Übermittlungen stützen wir auf einen Angemessenheitsbeschluss der Europäischen Kommission, insbesondere das EU-US Data Privacy Framework, soweit der Empfänger zertifiziert ist (Art. 45 DSGVO), oder auf die Standardvertragsklauseln der Europäischen Kommission nebst ergänzenden Maßnahmen (Art. 46 Abs. 2 lit. c DSGVO). Kopien der Garantien stellen wir auf Anfrage zur Verfügung.

Eine Übermittlung geht nach Singapur: AIVORA PTE. LTD. („PixVerse") erzeugt die Videosequenzen der KI-Videofunktion. Für Singapur besteht kein Angemessenheitsbeschluss, und mit dem Anbieter bestehen derzeit keine Standardvertragsklauseln. Diese Übermittlung findet ausschließlich statt, wenn die betroffene Person zuvor ausdrücklich eingewilligt hat (Art. 49 Abs. 1 Satz 1 lit. a DSGVO); sie wird dabei darüber unterrichtet, dass im Empfängerstaat kein dem europäischen Recht vergleichbares Datenschutzniveau gilt, dass ihr dort keine durchsetzbaren Rechte und keine wirksamen Rechtsbehelfe zur Verfügung stehen und dass der Anbieter Dienstleister in weiteren Staaten einsetzen kann, unter anderem in den Vereinigten Staaten. Ohne diese Einwilligung wird die Funktion nicht ausgeführt.

8. Wenn Sie Endkunde eines Studios sind

Schreiben Sie einem Studio über WhatsApp, buchen Sie einen Termin, zahlen Sie über einen vom Studio gesendeten Zahlungs- oder Anzahlungslink oder nehmen Sie an einem Gewinnspiel teil, ist das jeweilige Studio für Ihre Daten verantwortlich. Wir verarbeiten diese Daten ausschließlich in dessen Auftrag und nach dessen Weisungen.

Öffnen Sie einen vom Studio gesendeten Link (Rechnung, Zahlung, Anzahlung, Buchung, Kundenkarte, Video), speichern wir im Auftrag des Studios die Anzahl der Aufrufe und den Zeitpunkt des letzten Öffnens, nicht Ihre IP-Adresse.

Wenden Sie sich mit Auskunfts-, Berichtigungs- und Löschungsverlangen bitte an Ihr Studio. Es verfügt in unserer Anwendung über die Funktionen, um sie zu erfüllen. Erreichen Sie das Studio nicht, leiten wir Ihr Anliegen weiter — beantworten dürfen wir es nicht selbst.

Eine Ausnahme gilt für die Anzahlung und die weiteren Zahlungen über unsere Plattform: Sie zahlen an das Studio, unsere Vergütung wird in derselben Zahlung einbehalten. Zahlungsdienstleister ist Stripe oder — sofern das Studio ein PayPal-Händlerkonto verbunden hat — PayPal; Sie wählen den Weg selbst. Wir erhalten von Stripe Ihren Namen, Ihre E-Mail-Adresse und Ihre Rechnungsanschrift, von PayPal Ihren Namen, Ihre E-Mail-Adresse, Ihre PayPal-Käuferkennung und Ihr Land, jeweils zusammen mit Betrag und Zahlungsstatus. Zahlungsmitteldaten — Karten-, Konto- oder PayPal-Zugangsdaten — erhalten wir nicht. Für die damit verbundene Verarbeitung Ihrer Zahlungsdaten sind wir neben dem Zahlungsdienstleister mitverantwortlich. Das gilt in gleicher Weise für die Buchungsseite, für die Zahlungsseite (Zahlungslink des Studios) und für die Anzahlungsseite (Anzahlung zu einem bereits vereinbarten Termin). Einzelheiten zur Anzahlung stehen in den Anzahlungs- und Buchungsbedingungen, die Ihnen vor der Zahlung einer Anzahlung angezeigt werden.

9. Künstliche Intelligenz

9.1 Kennzeichnung

Die automatisierten Antworten im Nachrichtenverlauf werden von einem KI-System erzeugt. Sie werden zu Beginn der Konversation darauf hingewiesen (Art. 50 der Verordnung (EU) 2024/1689 — KI-Verordnung).

9.2 Datenminimierung vor der Übermittlung

Bevor ein Gesprächsverlauf an den KI-Dienstleister übermittelt wird, ersetzen wir direkte Identifikatoren durch Platzhalter: E-Mail-Adressen sowie zusammenhängende Ziffernfolgen mit acht oder mehr Ziffern. Kurze Zahlen — Uhrzeiten, Größenangaben, Preise — bleiben erhalten, weil die Beratung sie benötigt.

9.3 Keine automatisierte Entscheidung mit rechtlicher Wirkung

Eine ausschließlich automatisierte Entscheidung im Sinne des Art. 22 DSGVO, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt, findet nicht statt. Die KI-Assistentin führt das Gespräch und schlägt Termine vor; die Entscheidung über den Termin trifft das Studio, der Vertrag kommt zwischen Ihnen und dem Studio zustande.

9.4 Bilder und Videosequenzen

Wenn ein Studio unsere Videofunktion nutzt, wird eine Fotografie Ihrer Tätowierung an unsere KI-Dienstleister übermittelt. Grundlage hierfür ist die Einwilligung, die Ihr Studio bei Ihnen einholt; das Studio bestätigt uns vor der erstmaligen Verarbeitung, dass sie vorliegt.

10. Ihre Rechte

Sie haben das Recht auf

• Auskunft über die zu Ihnen verarbeiteten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Für uns zuständige Aufsichtsbehörde: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf. Sie können sich auch an die Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts wenden.

Ihre Rechte machen Sie geltend unter: info@innovadrive.de

11. Pflicht zur Bereitstellung

Die Bereitstellung Ihrer Daten ist weder gesetzlich noch vertraglich vorgeschrieben. Ohne die zur Vertragsdurchführung erforderlichen Angaben können wir den Vertrag jedoch nicht schließen oder durchführen.

12. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich die Rechtslage, unsere Leistungen oder die Datenverarbeitung ändern. Es gilt die jeweils auf unserer Website veröffentlichte Fassung.

Letzte Aktualisierung: 11.09.2026

Fragen zu diesem Text: info@innovadrive.de