Konten, Mandanten und Teams
E-Mail-Adresse, Name, Rolle, Sprache, Zeitzone, Sessiondaten und Einladungsstatus werden verarbeitet, um Betreiberkonten, Mandanten und Zugriffsrechte bereitzustellen.
Datenschutz, Export und Löschung
Datenschutz, Export, Löschung und Provider-Prüfung werden als zusammenhängende Go-live-Unterlage sichtbar gemacht.
Datenschutz-Grundsätze
Die Datenschutzfläche bleibt bewusst prüfbar: Grundsätze, Verarbeitungsbereiche und Provider stehen auf einer Seite.
- Datenminimierung
- Audit-, Support- und Admin-Protokolle speichern E-Mail-Adressen nur als Hash, wenn Klartext nicht nötig ist.
- Datenexport
- Mandanten-, Buchungs-, Ticket- und Audit-Daten können tenant-scoped über die Privacy API exportiert werden.
- Löschkonzept
- Löschanfragen werden tenant-scoped geprüft und nach Aufbewahrungsfristen oder gesetzlichen Pflichten umgesetzt.
- Provider-Grenzen
- Stripe, Mail-Provider, LLM und Storage werden vor Go-live mit eigenen vsmBooking-Zugängen dokumentiert.
Preview geschützt
Diese Inhalte sind Entwürfe und werden erst nach finaler Rechtsprüfung vor Go-live veröffentlicht.
Verarbeitungsbereiche
Kalender, Buchungen und Sitzplätze
Location-, Kalender-, Verfügbarkeits-, Buchungs-, Kontakt- und Sitzplatzdaten werden für Terminbuchung, Kapazitätsprüfung, Holds, Bestätigung und Storno benötigt.
Events, Tickets und Check-in
Eventdaten, Ticketangebote, Bestellungen, Stripe-Referenzen, QR-/Access-Codes und Check-in-Zeitpunkte werden für Verkauf, Einlass und Nachvollziehbarkeit verarbeitet.
E-Mail-Kommunikation
Konfigurierbare Buchungs-, Ticket-, Event-, Team- und Systemmails werden über einen Provider verschickt und mit Zustell-, Bounce-, Complaint- und Unsubscribe-Status protokolliert.
Abrechnung und Zahlungen
Stripe verarbeitet Zahlungs- und Abonnementdaten. vsmBooking speichert nur erforderliche Referenzen wie Customer-, Subscription-, Checkout- und Payment-Intent-IDs.
LLM-Assistent
Assistant-Anfragen werden nur bei aktivem Add-on ausgeführt, auditierbar gespeichert, rate-limited und vor Go-live mit einem dedizierten vsmBooking-Key betrieben.
Provider-Matrix für die juristische Abnahme
- Hetzner VPS
- Hosting, Datenbank, Redis, Worker und Backups.
- Stripe
- SaaS-Abos, Add-ons, Ticketzahlungen, Connect-Auszahlungen und Webhooks.
- SMTP/Mail-Provider
- Transaktionale Mails, Eventmeldungen, Zustellung, Bounce/Complaint und Unsubscribe.
- OpenAI/LLM
- Optionale Assistenzfunktionen für Texte und Regeln bei aktivem Add-on.
- S3-kompatibler Storage
- Optional für Branding, Medien, PDFs und Exportdateien.
Rechtsgrundlagen und Rollen
Die finale Fassung muss Verantwortlichkeit, Auftragsverarbeitung, berechtigte Interessen, Vertragserfüllung, Einwilligungen und gesetzliche Pflichten konkret prüfen. Mandanten können je nach Einbindung selbst Verantwortliche für Endkundendaten sein.
Cookies, Sessions und Embeds
Betreiber-Sessions laufen über HTTP-only Cookies und CSRF-Schutz. Website-Einbindungen nutzen Embed-Sessions und Origin-Schutz; Tracking- oder Marketing-Cookies sind vor Aktivierung gesondert zu dokumentieren.
Betroffenenrechte und Kontakt
Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch und Beschwerderechte werden über den finalen Datenschutzkontakt abgewickelt.
Aufbewahrung und Löschung
Datenexport sowie Export- und Löschanfragen sind technisch über die Privacy API vorbereitet und werden im Runbook nachgehalten.