TODA

Datenschutzerklärung

Datenschutzerklärung

Diese Datenschutzerklärung gilt für die von der TODA Tattoo Solutions S.L. („TODA", „wir") betriebene Software-Plattform TODA — insbesondere die Website und die Studio-App unter toda.ink und den zugehörigen Subdomains — soweit TODA für die Verarbeitung verantwortlich ist. Das betrifft die Daten unserer Nutzer (selbstständige Tattoo-Artists) und der Besucher unserer Website.

Wenn ein Endkunde über das Anfrage-Widget eines Artists eine Tattoo-Anfrage stellt, ist der jeweilige Artist für diese Daten datenschutzrechtlich verantwortlich; TODA verarbeitet sie nur in dessen Auftrag. Es gilt dann die Datenschutzerklärung des jeweiligen Artists.

1. Verantwortlicher

TODA Tattoo Solutions S.L.
Carrer de Miquel Barceló 4, Bloque A2 Apt. 201
07180 Calvià (Illes Balears), Spanien

Vertreten durch: Geschäftsführer Manuel Lindner
E-Mail: manuel@todasolutions.com
Telefon: +34 680 98 79 45

In Datenschutzangelegenheiten (Auskunft, Löschung, Widerruf) erreichen Sie uns unter: data@todasolutions.com

2. Welche Daten wir verarbeiten, zu welchem Zweck und auf welcher Rechtsgrundlage

a) Registrierung und Betrieb des Artist-Kontos
Bei der Anmeldung erheben wir Anzeigename, Wunsch-Subdomain, E-Mail-Adresse und die Antworten aus dem Einstiegs-Quiz. Im laufenden Betrieb verarbeiten wir die Daten, die Sie in der App anlegen (Profil- und Branding-Angaben, Termin- und Kalenderdaten, Ihre Kundenkartei, Nachrichtenverläufe). Zweck ist die Bereitstellung und der Betrieb des Dienstes.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

b) Abrechnung des Abonnements
Zur Abwicklung des SaaS-Abos (Grundgebühr, Add-ons) verarbeiten wir Ihre Zahlungs- und Rechnungsdaten. Die Zahlungsabwicklung erfolgt über unseren Zahlungsdienstleister Stripe; die Zahlungsdaten geben Sie direkt bei Stripe ein.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. c DSGVO (Erfüllung steuer- und handelsrechtlicher Aufbewahrungspflichten).

c) Onboarding und Reichweitenmessung
Rufen Sie unseren Anmelde-Funnel über einen Kampagnen-Link auf, verarbeiten wir die in der Adresse enthaltenen Kampagnen-Parameter (z. B. UTM-Parameter, „fbclid", „gclid"), um nachzuvollziehen, über welchen Weg Anmeldungen zustande kommen, und um unser Angebot zu verbessern. Diese Parameter werden serverseitig aus der aufgerufenen Adresse ausgelesen; Cookies oder vergleichbare Tracking-Technologien setzen wir hierfür nicht ein.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Erfolgsmessung unserer Ansprache).

d) Web-Push-Benachrichtigungen
Wenn Sie unsere Web-Push-Benachrichtigungen aktivieren, speichert Ihr Browser eine sogenannte Push-Subscription (eine Adresse des Push-Dienstes, kryptografische Schlüssel sowie Angaben zu Browser/Endgerät). Wir nutzen diese, um Ihnen die gewünschten Benachrichtigungen über die Push-Dienste der Browser-Anbieter (Apple, Google, Mozilla) zuzustellen. Speicherung und Zugriff auf Ihrem Endgerät erfolgen ausschließlich mit Ihrer vorherigen Einwilligung. Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie die Benachrichtigungen in Ihren Browser-Einstellungen deaktivieren.
Rechtsgrundlage: Art. 22.2 der spanischen Ley 34/2002 (LSSI-CE) in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

e) Support und Fehlerbehebung
Wenn Sie unseren Support kontaktieren (z. B. über den Support-Chat oder Bug-Meldungen), verarbeiten wir Ihre Angaben, um Ihr Anliegen zu bearbeiten. Zur Absicherung des Betriebs verarbeiten wir zudem technische Protokolldaten (z. B. Zeitpunkt, IP-Adresse, aufgerufene Funktion).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Support im Rahmen des Vertrags) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit, Stabilität und Missbrauchsabwehr).

f) Besuch unserer Website und unseres Blogs
Beim Aufruf unserer Website werden technisch notwendige Verbindungsdaten verarbeitet. Wir setzen keine Tracking- oder Analyse-Dienste Dritter ein (kein Google Analytics, keine Tracking-Pixel, kein externer Analyse-Dienst); unsere Reichweitenmessung erfolgt ausschließlich mit eigenen Mitteln. Schriften werden von unseren eigenen Servern ausgeliefert (kein Abruf externer Schrift-Dienste).
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren und funktionsfähigen Betrieb).

g) Schutz unserer Anmelde- und Login-Formulare vor Missbrauch (Cloudflare Turnstile)
Um Registrierung, Login, das Zurücksetzen des Passworts und den erneuten Versand von Bestätigungs-E-Mails vor automatisierten Zugriffen (Bots) zu schützen, setzen wir auf diesen Formularen den Dienst Turnstile der Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA, ein. Beim Aufruf eines solchen Formulars lädt Ihr Browser ein Skript von Cloudflare. Es wertet technische Merkmale Ihres Browsers und Ihrer Verbindung aus — insbesondere IP-Adresse, TLS-Fingerabdruck, User-Agent und die aufrufende Website — und führt kurze Browser-Prüfungen durch; nur in Zweifelsfällen werden Sie gebeten, ein Kästchen anzuklicken. Ihre Formulareingaben (z. B. E-Mail-Adresse oder Passwort) erhält Cloudflare dabei nicht. Cloudflare verarbeitet diese Daten als unser Auftragsverarbeiter, um Anfragen als menschlich oder automatisiert einzustufen, und nach eigenen Angaben zusätzlich als eigenständiger Verantwortlicher, um die Bot-Erkennung von Turnstile zu verbessern. Einzelheiten: https://www.cloudflare.com/turnstile-privacy-policy/ sowie https://www.cloudflare.com/privacypolicy/.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz unseres Dienstes und unserer Nutzer vor automatisierten Registrierungen, Anmeldeversuchen und massenhaftem E-Mail-Versand).

3. Empfänger und eingesetzte Dienstleister

Zur Erbringung unseres Dienstes setzen wir sorgfältig ausgewählte Dienstleister ein, die personenbezogene Daten in unserem Auftrag verarbeiten (Auftragsverarbeiter nach Art. 28 DSGVO):

  • Supabase — Datenbank, Authentifizierung und Datei-Speicher; Verarbeitung in einem Rechenzentrum in Frankfurt am Main (EU).
  • Vercel — Auslieferung der Web-Anwendungen (Studio-App und Widget).
  • Railway — Betrieb der Server-Logik (Zahlungs-, E-Mail- und Hintergrund-Prozesse).
  • Resend — Versand und Empfang der System- und Produkt-E-Mails.
  • Stripe — Zahlungsabwicklung und Rechnungsstellung für das Abonnement.
  • Cloudflare — Schutz der Registrierungs-, Login- und Passwort-Formulare vor automatisiertem Missbrauch (Turnstile, siehe Ziffer 2 g).
  • Browser-Push-Dienste (Apple, Google, Mozilla) — technische Zustellung der Web-Push-Benachrichtigungen.

Darüber hinaus setzen wir Dienste für den internen Support- und Mailbetrieb ein, die keine Produkt-Datenflüsse verarbeiten.

4. Datenübermittlung in Drittländer (insbesondere USA)

Einzelne der genannten Dienstleister haben ihren Sitz in den USA oder verarbeiten Daten dort:

  • Für Stripe, Resend und Cloudflare stützen wir die Übermittlung auf einen Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO: Alle drei Unternehmen sind unter dem EU-US Data Privacy Framework zertifiziert. Die aktuelle Zertifizierung kann unter https://www.dataprivacyframework.gov überprüft werden.
  • Soweit einzelne Verarbeitungsschritte (z. B. Protokoll- oder Support-Dienste) nicht auf diesen Beschluss gestützt werden können, schließen wir die von der EU-Kommission erlassenen Standardvertragsklauseln nach Art. 46 DSGVO und treffen erforderliche ergänzende Schutzmaßnahmen.

Unsere Anwendungen werden vorrangig in der Europäischen Union betrieben. Einzelne Verarbeitungsschritte oder Support-Zugriffe können auch in Drittländern, insbesondere den USA, stattfinden.

5. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist:

  • Konto- und Nutzungsdaten löschen wir nach Beendigung des Vertragsverhältnisses, soweit keine Aufbewahrungspflichten entgegenstehen.
  • Rechnungs- und Zahlungsbelege bewahren wir entsprechend den gesetzlichen steuer- und handelsrechtlichen Fristen auf.
  • Nicht abgeschlossene Anmeldungen werden nach 14 Tagen entfernt, zugestellte System-Benachrichtigungen nach 30 Tagen.
  • Protokolldaten speichern wir nur für den zur Sicherheit und Fehleranalyse erforderlichen Zeitraum.

6. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO). Erteilte Einwilligungen (z. B. für Web-Push) können Sie jederzeit mit Wirkung für die Zukunft widerrufen; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

Zur Ausübung Ihrer Rechte genügt eine Nachricht an data@todasolutions.com.

Ihnen steht zudem ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu. Für uns zuständig ist die spanische Datenschutzbehörde: Agencia Española de Protección de Datos (AEPD), C/ Jorge Juan 6, 28001 Madrid, Spanien — www.aepd.es. Sie können sich auch an die Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts wenden.

Rechte im Zusammenhang mit verstorbenen Personen: Angehörige, Erben oder von der verstorbenen Person benannte Personen können nach Maßgabe von Art. 3 der spanischen Datenschutz-Umsetzung (LOPDGDD) Auskunft, Berichtigung oder Löschung der Daten einer verstorbenen Person verlangen.

7. Automatisierte Entscheidungen

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO findet nicht statt.

8. Pflicht zur Bereitstellung

Die Bereitstellung der Konto-, Zahlungs- und grundlegenden Nutzungsdaten ist für den Abschluss und die Durchführung des Vertrags erforderlich. Ohne diese Daten können wir den Dienst nicht bereitstellen.

9. Externe Links

Unsere Website und unser Blog enthalten Links zu externen Websites Dritter, auf deren Inhalte wir keinen Einfluss haben. Für diese Inhalte ist stets der jeweilige Anbieter verantwortlich. Für die Verarbeitung personenbezogener Daten auf diesen Seiten gelten ausschließlich die Datenschutzerklärungen der jeweiligen Anbieter.

10. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn Änderungen an unserem Dienst oder der Rechtslage dies erfordern. Es gilt die jeweils auf toda.ink veröffentlichte Fassung.

Stand: September 2026