Datenschutzerklärung

Verantwortlicher für die über die Plattform Pikkoh verarbeiteten personenbezogenen Daten ist:

• Pikkoh Sh.P.K.
• Johan V Hahn 23, Prishtina, Kosovo
• E-Mail: hello@pikkoh.com

Pikkoh verbindet Kundinnen und Kunden mit Dienstleistungsunternehmen im Kosovo und in Albanien. Die auf der Plattform angebotenen Unternehmen und Leistungen haben ihren Sitz ausschließlich in diesen beiden Ländern. Für den Wohnsitz der Kundinnen und Kunden besteht keine Einschränkung — jede Person kann unabhängig vom Aufenthaltsort ein Konto erstellen und einen Termin buchen, da die Leistung selbst stets am physischen Standort des Unternehmens im Kosovo oder in Albanien erbracht wird. Pikkoh richtet das Leistungsangebot nicht an den Markt der Europäischen Union und bewirbt es dort nicht; die deutschsprachige Version besteht vor allem für deutschsprachige Nutzerinnen und Nutzer der Plattform.

Die Verarbeitung richtet sich nach dem Gesetz Nr. 06/L-082 über den Schutz personenbezogener Daten der Republik Kosovo. Dieses Gesetz ist an die Verordnung (EU) 2016/679 (DSGVO) angeglichen; Pikkoh wendet dieselben Schutzstandards auch dort an, wo die DSGVO nicht unmittelbar gilt.

Wir verarbeiten nur die für die folgenden Zwecke erforderlichen Daten:

• Kontodaten (Name, E-Mail, Telefonnummer, Sprachpräferenz, verschlüsseltes Passwort) — zur Einrichtung und Verwaltung des Kontos. Rechtsgrundlage: Vertragserfüllung.
• Telefonverifizierung per WhatsApp-OTP — verpflichtend für die Erstellung von Kunden- und Unternehmenskonten; ohne Verifizierung wird kein Konto erstellt. Eine Buchung als Gast erfordert keine Verifizierung. Rechtsgrundlage: Vertragserfüllung (Voraussetzung der Kontoerstellung) und berechtigtes Interesse (Plattformsicherheit, Betrugsprävention).
• Buchungsdaten (Name, Telefon, E-Mail der Kundin/des Kunden, Leistung, Mitarbeiter/in, Datum und Uhrzeit, optionale Notizen, Stornierungsgrund) — zur Durchführung der Buchung und Kommunikation mit dem Unternehmen. Rechtsgrundlage: Vertragserfüllung.
• Buchungsbenachrichtigungen per E-Mail und WhatsApp (Bestätigung, Erinnerung, Änderung, Stornierung) — notwendiger Bestandteil des Buchungsdienstes. Rechtsgrundlage: Vertragserfüllung; für zusätzliche Erinnerungen berechtigtes Interesse an der Verringerung von Nichterscheinen.
• Bewertungen, Kommentare und Antworten des Unternehmens (Note, Text, zugehörige Buchung, angezeigter Name, Antworttext des Unternehmens) — zur Transparenz gegenüber anderen Kundinnen und Kunden. Eine Bewertung ist stets mit einer stattgefundenen Buchung verknüpft und wird zusammen mit einer etwaigen Antwort im Unternehmensprofil veröffentlicht. Rechtsgrundlage: berechtigtes Interesse; die Bewertungseinladung wird nach dem stattgefundenen Termin versendet.
• Unternehmens- und Mitarbeiterdaten (Firmenname, Adresse, Geokoordinaten, verifizierte Telefonnummer, Registernummer NUIS/NIPT sofern angegeben, Öffnungszeiten, Bilder, Mitarbeiternamen) — zur Veröffentlichung des Profils und zum Betrieb des Kalenders. Rechtsgrundlage: Vertragserfüllung.
• Inhalte von Support-Tickets und Korrespondenz — zur Bearbeitung Ihrer Anfragen. Rechtsgrundlage: Vertragserfüllung und berechtigtes Interesse.
• Kampagnen und Aktionen, die Unternehmen an ihre eigenen Kundinnen und Kunden senden — Rechtsgrundlage: Einwilligung, jederzeit über den Abmeldelink widerrufbar.
• Technische Protokolle (E-Mail- und WhatsApp-Versandprotokolle, Audit-Log, Fehlerberichte) — für Sicherheit, Fehlerbehebung und Versandnachweis. Rechtsgrundlage: berechtigtes Interesse.
• Abrechnungs- und Zahlungsdaten (Tarif, Rechnungshistorie, Beträge) — Rechtsgrundlage: Vertragserfüllung und rechtliche Verpflichtung (Buchhaltung und Steuern).
• Besuchsstatistik und Werbemessung (Google Analytics 4 / Google Tag Manager, Meta Pixel) — nur bei Einwilligung im Cookie-Banner. Rechtsgrundlage: Einwilligung, jederzeit widerrufbar (siehe Abschnitt 14).

Die meisten Daten erhalten wir direkt von Ihnen. In einigen Fällen erhalten wir sie von Dritten: wenn ein Unternehmen eine Buchung in Ihrem Namen anlegt oder ändert, wenn ein Unternehmen eine Mitarbeiterin bzw. einen Mitarbeiter oder Kundendaten in seinem eigenen Register anlegt, oder wenn Sie per E-Mail eingeladen werden, einem Unternehmenskonto beizutreten. Es gelten dieselben Rechte und Speicherfristen.

Wir verkaufen Ihre Daten nicht. Wir geben sie nur im erforderlichen Umfang weiter an:

• Das Unternehmen, bei dem Sie buchen — es erhält Ihren Namen, Ihre Kontaktdaten und die Buchungsdetails und ist für sein eigenes Kundenregister eigenständig verantwortlich.
• Supabase (Datenbank-, Authentifizierungs- und Hosting-Infrastruktur) — Speicherung im Rechenzentrum AWS eu-central-1, Frankfurt, Deutschland.
• Meta Platforms Ireland Ltd. / WhatsApp Business Platform — für Verifizierungscodes und Buchungsbenachrichtigungen; umfasst eine Übermittlung an Meta Platforms, Inc. in den USA, abgesichert durch die EU-Standardvertragsklauseln.
• Google Ireland Ltd. (Maps und Places API) — für Geokodierung von Unternehmensadressen und Adressvorschläge; kann eine Übermittlung in die USA umfassen, abgesichert durch Standardvertragsklauseln.
• Den Anbieter für transaktionale E-Mails der Lovable-Plattform — für Bestätigungen, Erinnerungen und Support-Antworten.
• Zahlungsdienstleister — Abonnementzahlungen sind derzeit noch nicht integriert; sobald sie aktiviert werden, werden Zahlungsdaten unmittelbar von einem lizenzierten Zahlungsinstitut verarbeitet und diese Erklärung wird vorab um dessen Namen ergänzt.
• Google Ireland Ltd. (Google Analytics 4 und Google Tag Manager) — ausschließlich nach Ihrer Einwilligung im Cookie-Banner; Besuchsstatistik mit anonymisierter IP und Google Consent Mode v2. Übermittlungen in die USA sind durch Standardvertragsklauseln und das EU–US Data Privacy Framework abgesichert.
• Meta Platforms Ireland Ltd. (Meta Pixel) — ausschließlich nach Ihrer Einwilligung im Cookie-Banner; Messung der Werbewirkung auf Facebook/Instagram, mit Standardvertragsklauseln für Übermittlungen in die USA.
• Behörden — ausschließlich soweit gesetzlich vorgeschrieben.

Die Daten werden überwiegend innerhalb der Europäischen Union gespeichert (Frankfurt, Deutschland). Soweit ein Auftragsverarbeiter Daten außerhalb der EU oder des Kosovo übermittelt — konkret Meta (WhatsApp, Meta Pixel) und Google (Maps/Places, Analytics/Tag Manager) — erfolgt dies auf Grundlage der von der Europäischen Kommission genehmigten Standardvertragsklauseln, bei Google zusätzlich auf Grundlage des EU–US Data Privacy Framework, nebst ergänzenden technischen Maßnahmen. Informationen zu diesen Garantien erhalten Sie unter hello@pikkoh.com.

• Konto und Buchungshistorie — für die Dauer des Kontos; Löschung nach Kontoschließung.
• Rechnungs- und Buchhaltungsunterlagen — 6 Jahre gemäß kosovarischem Steuerrecht.
• Support-Tickets — 2 Jahre nach Schließung des Tickets.
• Protokolle der Telefonverifizierung (OTP) — 30 Tage.
• Versandprotokolle für E-Mails und Nachrichten — 12 Monate.
• Bewertungen — bleiben nach Kontolöschung öffentlich, jedoch in anonymisierter Form (ohne Namen und ohne Kontobezug).
• Sicherheits-Audit-Log — 12 Monate.
• Statistikdaten in Google Analytics 4 — maximal 14 Monate.
• Einwilligungsnachweis für Cookies (Cookie pikkoh_consent mit Zeitstempel) — 12 Monate.

Sie haben jederzeit das Recht:

• auf Auskunft über Ihre Daten und eine Kopie davon;
• auf Berichtigung unrichtiger Daten;
• auf Löschung („Recht auf Vergessenwerden“), soweit keine gesetzliche Aufbewahrungspflicht besteht;
• auf Einschränkung der Verarbeitung;
• auf Datenübertragbarkeit in einem maschinenlesbaren Format;
• auf Widerspruch gegen eine auf berechtigtem Interesse beruhende Verarbeitung;
• auf Widerruf einer Einwilligung jederzeit, ohne Auswirkung auf die Rechtmäßigkeit der bisherigen Verarbeitung.

Wenn Sie der Ansicht sind, dass Ihre Daten nicht ordnungsgemäß verarbeitet werden, wenden Sie sich bitte zuerst an hello@pikkoh.com — wir antworten innerhalb von 30 Tagen. Sie haben zudem das Recht, sich bei der Informations- und Datenschutzagentur der Republik Kosovo (Agjencia e Informimit dhe Privatësisë, AIP) in Prishtina zu beschweren.

Sind Sie in einem Mitgliedstaat der Europäischen Union ansässig und der Auffassung, dass wir Ihre Daten verarbeitet haben, können Sie sich auch an die nationale Aufsichtsbehörde Ihres Wohnsitzstaates wenden.

Wir setzen keine ausschließlich automatisierte Entscheidungsfindung oder Profilbildung mit rechtlicher oder ähnlich erheblicher Wirkung ein. Die automatische Zuweisung einer Mitarbeiterin bzw. eines Mitarbeiters bei der Auswahl „beliebige Fachkraft“ beruht allein auf der Terminverfügbarkeit und bewertet Ihre Person nicht.

Der Dienst richtet sich nicht an Kinder. Für die Kontoerstellung ist ein Mindestalter von 16 Jahren erforderlich. Stellen wir fest, dass ein Konto einer jüngeren Person gehört, löschen wir es.

Wir setzen angemessene technische und organisatorische Maßnahmen ein: verschlüsselte Übertragung (HTTPS), Verschlüsselung gespeicherter Daten, Zugriffskontrolle auf Zeilenebene in der Datenbank, Rollentrennung, gehashte Passwörter und Audit-Protokollierung sensibler Vorgänge. Kein System ist vollständig sicher; bei einer Verletzung mit hohem Risiko informieren wir die betroffenen Personen und die AIP innerhalb der gesetzlichen Fristen.

Technisch notwendige Cookies setzen wir ohne Einwilligung auf Grundlage unseres berechtigten Interesses. Statistik- und Marketing-Cookies werden AUSSCHLIESSLICH nach Ihrer Einwilligung im Cookie-Banner gesetzt (Art. 6 Abs. 1 lit. a DSGVO / Gesetz Nr. 06/L-082); vorher werden sie überhaupt nicht geladen. Die Kategorien:

• Notwendig: Sitzungs-Cookie/-Speicher für die Authentifizierung; Cookie für die gewählte Sprache (12 Monate); lokale Speicherung des Seitenleisten-Zustands im Unternehmens-Dashboard; Ihr Einwilligungs-Cookie (pikkoh_consent, 12 Monate); technische Fehlerberichte der Hosting-Plattform.
• Statistik (einwilligungspflichtig): Google Analytics 4 / Google Tag Manager — Messung von Besuchen, beliebten Seiten und Zugriffsquellen. Die IP-Adresse wird anonymisiert, Google Consent Mode v2 ist aktiv. Anbieter: Google Ireland Ltd.; Übermittlungen in die USA sind durch Standardvertragsklauseln und das EU-US Data Privacy Framework abgedeckt.
• Marketing (einwilligungspflichtig): Meta Pixel — Messung der Werbewirkung und Werbezielgruppen auf Facebook/Instagram. Anbieter: Meta Platforms Ireland Ltd., mit Standardvertragsklauseln.
• Sie können Ihre Einwilligung jederzeit über den Link „Cookies“ im Seitenfuß ändern oder widerrufen. Der Widerruf berührt nicht die Rechtmäßigkeit der bereits erfolgten Verarbeitung.

Diese Erklärung kann aktualisiert werden. Version und Gültigkeitsdatum stehen am Seitenanfang. Über wesentliche Änderungen informieren wir mindestens 30 Tage im Voraus per E-Mail oder in der Plattform.

Bei Fragen oder zur Ausübung Ihrer Rechte: hello@pikkoh.com oder postalisch: Pikkoh Sh.P.K., Johan V Hahn 23, Prishtina, Kosovo.