Datenschutzerklärung
(für das Waitlistize Buchungssystem)

Gültig ab: 20.02.2026

Bei Nutzung des Waitlistize-Buchungssystems (der Dienst) handelt Waitlistize in Bezug auf die personenbezogenen Daten deiner Kundinnen und Kunden (Buchende) rechtlich als Auftragsverarbeiter. Verantwortlicher bist in jedem Fall du, also das Unternehmen oder die Organisation, die den Dienst nutzt.

1. Angaben zum Auftragsverarbeiter und zur Rolle

Auftragsverarbeiter:
Das Unternehmen, das den Dienst betreibt
Klick Team Kft.
1045 Budapest, Széchenyi tér 10.
01 09 423745
27059021241
hello@waitlistize.com

2. Zweck und rechtlicher Rahmen der Verarbeitung

Waitlistize verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich der über die Oberfläche des Dienstes vorgenommenen Einstellungen und Handlungen. Waitlistize bestimmt weder Zweck noch wesentliche Mittel der Verarbeitung, trifft keine inhaltlichen Entscheidungen über die Daten deiner Kundinnen und Kunden und nutzt diese Daten nicht für eigene Marketingzwecke. Die Verarbeitung unterstützt insbesondere:

Erstellung und Verwaltung von Nutzerkonten
Betrieb des Buchungssystems
– für Administratoren
– für Kunden, die eine Buchung durchführen
Login und Zugangskontrolle
Kontaktaufnahme (Benachrichtigungen, Systemnachrichten)
Sicherheitsfunktionen
(Passwort-, Session-Handling, Audit-Mechanismen)
Google-Kalender-Integration und Synchronisierung
Google OAuth wird ausschließlich verwendet, um den Google-Kalender eines Nutzers mit seinem Konto in unserer Admin-Oberfläche für Terminbuchungen zu verbinden. Nach ausdrücklicher Einwilligung erhält die Anwendung OAuth-Tokens und nutzt den Scope https://www.googleapis.com/auth/calendar.events, um buchungsbezogene Kalendereinträge zu erstellen, zu aktualisieren und zu löschen sowie die Verfügbarkeiten zwischen unserem System und Google Kalender zu synchronisieren. OAuth wird nicht für „Sign in with Google“ verwendet, sondern ausschließlich für die Kalenderintegration und den Terminabgleich.

3. Verarbeitete personenbezogene Daten

Die Verarbeitung umfasst Benutzerkontodaten sowie die nachfolgend aufgeführten Buchungs-, Wartelisten-, Einwilligungs- und zugehörigen technischen Daten. In der Tabelle users gespeicherte Benutzerkontodaten:

Feld	Inhalt	Verarbeitungszweck
id	Technische ID	Benutzeridentifikation
name	Vollständiger Name (optional)	Benutzer- und Admin-Identifikation, Unterstützung bei Rechnungs-/Kommunikationsprozessen
email	E-Mail-Adresse	Anmeldung, Buchungsbenachrichtigungen
email_verified_at	Verifizierungszeitpunkt	Sicherheits- und Authentifizierungszwecke
password	Verschlüsseltes Passwort	Login in das Benutzerkonto
phone	Telefonnummer (optional)	Kontaktaufnahme, Buchungsbenachrichtigungen
is_admin_global	Admin-Kennzeichnung	Verwaltung von Admin-Berechtigungen
remember_token	Token für automatische Anmeldung	Komfortfunktion, Login-Session
created_at / updated_at	Erstellungs- und Änderungszeitpunkt	Technisches Logging, Sicherheits-Audit

Buchungsdaten und zugehörige Daten

Datenkategorie	Inhalt	Verarbeitungszweck
Kontaktdaten der buchenden Person	`customer_name`, `customer_email`, `customer_phone`: Name, E-Mail-Adresse und Telefonnummer. Die Kontoeinstellungen des Verantwortlichen bestimmen, welche Felder Pflichtfelder sind.	Identifikation und Kontaktaufnahme sowie Verwaltung der Buchung; diese Daten werden auch in der Tabelle `bookings` gespeichert, auch bei Buchungen ohne Erstellung eines Benutzerkontos.
Termin- und Dienstleistungsdaten	Buchungs-, Konto-, Dienstleistungs- und Ressourcenkennung; bei Gruppenveranstaltungen eine Veranstaltungsterminkennung; Beginn und Ende in UTC, Status, Token zur Buchungsverwaltung, Spracheinstellung sowie Erstellungs- und Änderungszeitpunkt.	Zuordnung der gewählten Dienstleistung und des Termins zur buchenden Person, Kapazitäts- und Buchungsverwaltung sowie Benachrichtigungen.
Warteliste	Bei ausgebuchten Gruppenveranstaltungen speichert die Tabelle `waitlist_entries` Name, E-Mail-Adresse (`email`), Telefonnummer (`phone`), Konto-, Dienstleistungs-, Veranstaltungstermin- und Ressourcenkennung, gewünschten Beginn und gewünschtes Ende, Status, öffentliches Verwaltungstoken und Zeitstempel.	Erfassung von Wartelistenanmeldungen und Verwaltung zugehöriger Benachrichtigungen.
Verpflichtende DSGVO-Bestätigung	Akzeptieren der Datenschutzerklärung und der AGB (`gdpr`). Bei Erstellung einer Buchung speichert `bookings.consent_at` den Bestätigungszeitpunkt und `consent_hash` den SHA-256-Hash der Kennzeichnung `privacy:v1`.	Dokumentation der Bestätigung. Der Hash wird aus der festen Kennzeichnung und nicht aus dem vollständigen Erklärungstext gebildet; die Rechtsgrundlage der Verarbeitung wird in Abschnitt 4 behandelt.
Optionale ListaMester-Einwilligung	Bei Erstellung einer Buchung, sofern die Integration die Einwilligungserfassung ermöglicht und eine gesonderte Einwilligung zur Anmeldung (`listamester_consent`) erteilt wird, speichert `booking_consents` Buchungs-, Konto- und Dienstleistungskennung, Anbieter und Zweck, Einwilligungstext und dessen Hash, Zeitpunkt, Spracheinstellung, IP-Adresse und bis zu 512 Byte User-Agent-Daten sowie Metadaten zu Quelle und Dienstleistungstyp.	Dokumentation der gewünschten Newsletter- oder Marketinganmeldung und der zugehörigen Einwilligung. Diese Bestätigung ist von der verpflichtenden DSGVO-Bestätigung getrennt.
Technische Daten und Sicherheitsdaten	IP-Adresse, User-Agent, Ladezeitpunkt des Formulars und versteckte Felder zum Bot-Schutz. Bei Bot-Schutz-Ereignissen werden die IP-Adresse, ein gemeinsamer Hash aus User-Agent und IP-Adresse, die Route und die Ereignisumstände protokolliert; die Anfragenbegrenzung verwendet auch einen E-Mail-/IP-basierten Hash. Audit-Einträge der Selbstbedienungs-Buchungsverwaltung enthalten ebenfalls die IP-Adresse und bis zu 255 Byte User-Agent-Daten.	Erkennung und Begrenzung automatisierten Missbrauchs und übermäßig häufiger Eingaben; Nachvollziehbarkeit der Buchungsverwaltung.
Benachrichtigungsdaten	Die Benachrichtigungsdaten in `notifications_outbox` umfassen Name, E-Mail-Adresse, Buchungs- oder Wartelistenkennung, Dienstleistungs- und Termindaten sowie gegebenenfalls einen Verwaltungslink; das System speichert außerdem Versandstatus und Zeitstempel.	Vorbereitung und Versand von Buchungs-, Wartelisten- und Administratorbenachrichtigungen entsprechend den Einstellungen; Erstellung von Kalenderanhängen, sofern aktiviert.

Bei ListaMester-Anmeldungen übermittelt das System Name und E-Mail-Adresse, bei entsprechender Feldkonfiguration und vorhandenen Daten auch die Telefonnummer sowie einen vorhandenen Link zur Anmeldeseite an die ausgewählte ListaMester-Gruppe. Das zugehörige Versandprotokoll speichert außerdem Versandkennungen, Status, einen Hash der übermittelten Daten, Angaben zu Versandversuchen und einen Antwortauszug.

WordPress-Integration: über das WordPress-Plugin eingereichte Buchungs- und Einwilligungsdaten werden an Waitlistize weitergeleitet. Der WordPress-Server übergibt auch die IP-Adresse und die User-Agent-Daten der besuchenden Person. Der WordPress-Endpunkt von Waitlistize verwendet dieselben Backend-Buchungsprozesse wie die eigene öffentliche Buchungsoberfläche: Buchungen oder Wartelistenanmeldungen, Einwilligungen und Benachrichtigungen werden wie oben beschrieben verarbeitet. Das Unternehmen oder die Organisation, das bzw. die den Dienst nutzt, bleibt Verantwortlicher; Waitlistize bleibt Auftragsverarbeiter.

Das Buchungssystem verarbeitet keine besonderen Kategorien (sensibler) personenbezogener Daten.

4. Rechtsgrundlage der Verarbeitung

Die Rechtsgrundlage der Verarbeitung wird in jedem Fall von dem als Verantwortlicher handelnden Unternehmen festgelegt und den betroffenen Personen mitgeteilt. Waitlistize bestimmt als Auftragsverarbeiter keine Rechtsgrundlage nach Art. 6 DSGVO; Waitlistize stellt den technischen Betrieb des Dienstes bereit und führt die Weisungen des Verantwortlichen aus.

5. Weitere Auftragsverarbeiter / Unterauftragsverarbeiter

Von Waitlistize für den technischen Betrieb des Dienstes eingesetzte Drittanbieter (z. B. Hosting, E-Mail).
Diese Unterauftragsverarbeiter handeln ausschließlich auf Grundlage dokumentierter Vereinbarungen, DSGVO-konform und nur soweit dies zur Ausführung der Weisungen des Verantwortlichen erforderlich ist.

Google (Google Calendar API) – Anbieter für Kalenderintegration;
übermittelte personenbezogene Daten: für vom Nutzer angeforderte Kalenderaktionen erforderliche Google-Kalender-Termindaten (Erstellen, Aktualisieren, Löschen, Synchronisieren);
Zweck: Durchführung der vom Nutzer ausdrücklich angeforderten Kalenderaktionen. Google-Nutzerdaten werden nicht verkauft, geteilt oder an weitere Dritte/Auftragsverarbeiter übermittelt, nicht zu Werbezwecken genutzt und nur offengelegt, wenn dies aufgrund anwendbaren Rechts, behördlicher Vorgaben, Rechtsverfahrens oder einer vollstreckbaren behördlichen Anordnung erforderlich ist.
Barion – Online-Kartenzahlungsanbieter;
übermittelte personenbezogene Daten: Name, E-Mail-Adresse, Rechnungsdaten, Transaktionsbetrag und Zahlungskennung;
Zweck: Verarbeitung und Bestätigung von Online-Kartenzahlungen, Betrugsprävention und Transaktionssicherheit.
szamlazz.hu – Online-Rechnungsdienst;
übermittelte personenbezogene Daten: Name, Rechnungsname/-adresse, Steuernummer (falls relevant), E-Mail-Adresse, Details zur gekauften Leistung und Rechnungsdaten;
Zweck: Rechnungsausstellung und Erfüllung von Buchhaltungs-/Rechtspflichten.
Postal – Open-Source-E-Mail-Plattform;
übermittelte personenbezogene Daten: Name, E-Mail-Adresse sowie für die Zustellung erforderliche Nachrichten-Metadaten (z. B. Sendezeitpunkt, Status);
Zweck: Versand transaktionaler E-Mails (z. B. Buchungsbestätigungen und Systembenachrichtigungen) sowie Sicherstellung der Zustellbarkeit.

6. Speicherdauer

Solange das Nutzerkonto aktiv ist: alle Daten werden gespeichert.
Nach Löschung des Kontos: personenbezogene Daten werden innerhalb von 30 Tagen endgültig gelöscht, außer Daten, die aus buchhalterischen Gründen aufbewahrt werden müssen.
Sicherheitslogs: maximal 12 Monate.

7. Zugriff auf Daten

Zugriff auf personenbezogene Daten haben ausschließlich:

bestimmte, zur Vertraulichkeit verpflichtete Mitarbeiter von Waitlistize,
Unterauftragsverarbeiter (technische Dienstleister),
der Verantwortliche und die betroffene Person entsprechend den Berechtigungsstufen.

Der Zugriff ist rollen- und accountbasiert beschränkt.

8. Datensicherheitsmaßnahmen

Waitlistize schützt als Auftragsverarbeiter personenbezogene Daten auf mehreren Ebenen:

Passwörter mit bcrypt-Hashing gespeichert;
HTTPS-Verschlüsselung;
Zugriffskontrolle (Admin-Berechtigung, Tokens);
Logging und Audit-Funktionen;
regelmäßige Updates und Schwachstellen-Management.

Nach den von DiMa.hu veröffentlichten Informationen befinden sich die Server im modernen und sicheren Dataplex-Rechenzentrum (DiMa.hu – Unsere Server). Dataplex ist eine verstärkte, geschützte Einrichtung zum Schutz sicherheitssensibler Anlagen. Das mehrstufige Sicherheitssystem wird durch einen 24/7-Sicherheitsdienst, Videoüberwachung innerhalb und außerhalb des Gebäudes, Vibrations-, Türöffnungs- und Bewegungssensoren sowie Alarmanlagen unterstützt.

Auf Grundlage der von DiMa.hu veröffentlichten Informationen erfüllen die Service-Level (SLA) der Infrastruktur die strengsten Branchenstandards: Stromversorgung und Klimatisierung werden mit einer jährlichen Verfügbarkeit von 99,999% bereitgestellt. Eine unterbrechungsfreie Stromversorgung unterstützt den kontinuierlichen Betrieb; bei Bedarf können Dieselgeneratoren innerhalb von 3 Minuten gestartet werden. Die Temperatur wird konstant bei 22 °C (+/- 2 °C) und die relative Luftfeuchtigkeit bei 50% (+/- 10%) gehalten. Im gesamten Gebäude sind Brandmeldeanlagen und eine stickstoffbasierte Gaslöschanlage verfügbar, die weder der Umgebung noch den dort befindlichen Servern schadet.

9. Rechte der betroffenen Personen

Die betroffene Person hat das Recht:

Informationen über die Verarbeitung zu erhalten;
Zugriff auf ihre Daten zu verlangen;
Berichtigung oder Löschung zu verlangen;
die Einschränkung der Verarbeitung zu verlangen;
auf Datenübertragbarkeit;
der Verarbeitung auf Grundlage berechtigter Interessen zu widersprechen.

Betroffenenanfragen sind vorrangig an das als Verantwortlicher handelnde Unternehmen zu richten. Waitlistize unterstützt den Verantwortlichen als Auftragsverarbeiter bei der Erfüllung solcher Anfragen.

10. Rechtsbehelfe

Bei Beschwerden kann die betroffene Person sich wenden an:

Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH)
Adresse: 1055 Budapest, Falk Miksa utca 9–11.
Web: www.naih.hu

11. Sonstige Bestimmungen

Waitlistize behält sich das Recht vor, diese Datenschutzerklärung zu ändern.
Änderungen treten mit Veröffentlichung im Dienst in Kraft.

Datenschutzerklärung(für das Waitlistize Buchungssystem)