Xarfi-Datenschutzrichtlinie

Letzte Aktualisierung: 21. Oktober 2026

1 Wer betreibt Xarfi?

Xarfi ist ein Produkt und eine Marke, die Digital Solution Lab – DSL UG (haftungsbeschränkt) gehört und von diesem betrieben wird. DSL entwickelt, wartet und betreibt die Xarfi-Technologie und stellt die in dieser Mitteilung beschriebenen Plattformdienste bereit.

Der für die unten beschriebene Plattformverarbeitung verantwortliche Verantwortliche ist:

Digital Solution Lab – DSL UG (haftungsbeschränkt)

Rhinstraße 17a

12307 Berlin, Deutschland

Geschäftsführer: Adil Sunil

Registergericht: Amtsgericht Charlottenburg

Handelsregister: HRB 273096 B

E-Mail für Xarfi und Datenschutzanfragen: [email protected]

Alternative Firmen-E-Mail: [email protected]

Telefon: +49 151 51543183

In dieser Mitteilung bedeuten „Xarfi“, „DSL“, „wir“, „uns“ und „unser“ beziehen sich auf diese juristische Person. Xarfi ist keine eigenständige juristische Person oder ein separater Entwicklungskunde von DSL.

2 Geltungsbereich dieser Mitteilung

Diese Mitteilung erläutert die Verarbeitung personenbezogener Daten im Zusammenhang mit xarfi.de, xarfi.com und der Xarfi-Webanwendung. Es umfasst Besucher, registrierte Kunden, in Gastbuchungen genannte Personen, Salonbesitzer und Unternehmensvertreter, Meister und andere autorisierte Teammitglieder sowie Personen, die den Support kontaktieren.

Xarfi ermöglicht es Menschen, Schönheitsunternehmen und -profis zu entdecken, Dienstleistungen und Berufsprofile anzuzeigen, Termine zu vereinbaren und zu verwalten, Bewertungen abzugeben und, sofern angeboten, Produkte zu kaufen. Es bietet außerdem Salonabonnements, Kalender, Teamverwaltung und Zahlungsintegrationen.

Der Dienst unterstützt Deutsch, Englisch, Französisch, Türkisch, Polnisch, Ukrainisch, Vietnamesisch und Arabisch. Übersetzungen sollen dieselben Datenschutzinformationen vermitteln. Ihre gesetzlichen Rechte werden durch die von Ihnen verwendete Sprache nicht eingeschränkt.

In den folgenden Abschnitten zu Kunden, Salons und Meistern wird die für diese Rollen spezifische Verarbeitung erläutert. Sie ergänzen diese Hinweise und ändern nichts an den tatsächlichen rechtlichen Verantwortlichkeiten einer Partei.

3 Wie die Verantwortlichkeiten aufgeteilt sind

3.1 DSL als Plattformverantwortlicher

DSL legt die Zwecke und wesentlichen Verarbeitungsmittel fest, die für den Betrieb von Xarfi als Plattform erforderlich sind. Dazu gehören die Verwaltung von Plattformkonten, die Erkennung, die Erleichterung von Plattformbuchungen und -bestellungen, Abonnements, die Plattformabrechnung, öffentliche Einträge und Bewertungen, Plattformunterstützung, Betrugsprävention und -sicherheit.

DSLs eigene Entwicklungs- und Wartungsarbeiten sind Teil seiner Geschäftstätigkeit. DSL ist kein separater Auftragsverarbeiter, der im Namen eines anderen Xarfi-Unternehmens handelt, nur weil es auch die Software entwickelt. Autorisiertes Personal kann auf personenbezogene Daten zugreifen, wenn seine Aufgaben dies erfordern, vorbehaltlich angemessener Vertraulichkeit und Zugriffsbeschränkungen.

3.2 Salons und unabhängige Fachleute

Ein Salon oder unabhängiger Fachmann ist im Allgemeinen ein separater Verantwortlicher für seine eigene Dienstleistungserbringung, Kundenbeziehung, rechtliche Verpflichtungen und Geschäftsunterlagen. Seine Datenschutzinformationen erklären diese Verarbeitung. Einzelheiten zum jeweiligen Unternehmen finden Sie in dessen Eintrag oder können dort angefordert werden.

Ein Mitarbeiter oder Teammitglied, das im Auftrag eines Salons handelt, wird nicht automatisch zum unabhängigen Verantwortlichen, weil er einen Terminauftrag erhält. Die Rolle eines Selbstständigen hängt von seiner tatsächlichen Geschäftsvereinbarung und seinen Verarbeitungsaktivitäten ab.

3.3 Verarbeitung ausschließlich auf Anweisung eines Salons

Wenn eine separat vereinbarte Salonverwaltungsfunktion darin besteht, dass DSL Daten ausschließlich auf der Grundlage der dokumentierten Anweisungen des Salons verarbeitet, fungiert DSL als Auftragsverarbeiter dieses Salons für diese definierte Aktivität. Der Umfang, die Weisungen, die Sicherheitspflichten, die Unterauftragsverarbeiter sowie die Rückgabe oder Löschung dieser Daten müssen in einer Datenverarbeitungsvereinbarung gemäß Artikel 28 DSGVO geregelt werden.

Dadurch wird die eigene Plattform-Controller-Tätigkeit von DSL nicht in eine Verarbeitung im Auftrag eines Salons umgewandelt. Bei diesem Hinweis handelt es sich nicht um eine Datenverarbeitungsvereinbarung. Rechtliche Rollen richten sich nach der tatsächlichen Aktivität und können nicht allein durch eine Bezeichnung in dieser Mitteilung bestimmt werden.

4 Woher personenbezogene Daten stammen

Wir erhalten Daten direkt von Ihnen, wenn Sie durchsuchen, sich registrieren, buchen, bestellen, abonnieren, bewerten, ein Unternehmensprofil verwalten oder uns kontaktieren. Wir erhalten auch technische Daten von Ihrem Browser oder Gerät.

Andere Quellen sind:

• Eine Person, die eine Gastbuchung vornimmt und den Namen und die Termindetails des Gastes angibt.
• Ein Salon, der das Berufsprofil oder den Teamzugang eines Meisters erstellt oder verwaltet.
• Salons und zugewiesene Teammitglieder, die Buchungen, Bestellungen oder Terminergebnisse aktualisieren.
• Google, wenn Sie sich für die Google-Anmeldung entscheiden oder Maps oder Places verwenden Funktionen.
• Stripe, für Zahlungs-, Abonnement-, Onboarding- und Auszahlungsstatus.

Bei indirekter Informationsbeschaffung erteilen wir die gemäß Artikel 14 DSGVO erforderlichen Informationen innerhalb der geltenden Fristen, sofern keine gesetzliche Ausnahme vorliegt. Dazu gehören Informationen zur Datenquelle. Die Zusicherung eines Buchungskunden, dass ein Gast informiert ist, ersetzt nicht allein die geltenden Informationspflichten.

5 Kategorien personenbezogener Daten

5.1 Besucher und Suchanfragen

IP-Adresse, Zeitpunkt der Anfrage, angeforderte Seiten oder Ressourcen, Browser- und Betriebssysteminformationen, Spracheinstellungen, Referrer-Informationen, an die übermittelt wurde, Suchbegriffe, ausgewählte Bereiche und technische Fehler- oder Sicherheitsaufzeichnungen.

Wenn Sie den Standortzugriff zulassen, verarbeiten wir die von Ihrem Browser bereitgestellten Koordinaten, um die Nähe zu finden Unternehmen. Eine manuell eingegebene Adresse oder Ortssuche kann auch vom konfigurierten Kartendienst verarbeitet werden.

5.2 Konten und Authentifizierung

Name, E-Mail-Adresse, Telefonnummer, Kontokennungen, Rolle, bevorzugte Sprache, Profilfoto und optionale Geschlechtsinformationen, sofern diese Felder angeboten werden. Bei Passwortkonten werden Passwörter als Hashes und nicht als lesbare Passwörter gespeichert.

Für die Google-Anmeldung verarbeiten wir die Google-Kennung, Authentifizierungsinformationen und grundlegende Profildetails, die für die angeforderten Berechtigungen zurückgegeben werden. Wir erhalten Ihr Google-Passwort nicht.

5.3 Salon- und Berufsprofile

Firmen- und Vertreternamen, geschäftliche Kontaktdaten, Adresse, Kartenkoordinaten, Öffnungszeiten, Pausen, Urlaub oder Verfügbarkeit, Dienstleistungen, Preise, Dauer, Zielgruppen, Stile, Fotos, Berufsbeschreibungen, Teammitglieder und Produktlisten.

Öffentliche berufliche Informationen werden von privaten Konto- und Verwaltungsinformationen unterschieden. Arbeitskalender und Urlaubsaufzeichnungen sind nicht automatisch öffentlich, nur weil ein Berufsprofil öffentlich ist.

5.4 Buchungen und Bestellungen

Ausgewähltes Unternehmen, Service, Beruf, Datum und Uhrzeit, Buchungskennungen, Status, Stornierungsinformationen, ob die Buchung für den Kontoinhaber oder einen Gast ist, Name des Gastes und ausgewählte Zahlungsmethode. Bei Produktbestellungen verarbeiten wir auch Produkte, Mengen, Erfüllungsdetails und Bestellstatus. Lieferdetails werden nur verarbeitet, wenn Lieferung angeboten wird.

5.5 Zahlungen und Abonnements

Rechnungs- und Transaktionsdetails, Beträge, Währung, Zahlungsstatus, Zahlungs- und Kundenreferenzen, Rückerstattungen oder Streitigkeiten, Abonnementplan, Abrechnungsintervall, Verlängerungsinformationen und aktivierte Funktionen.

Für Salonauszahlungen können relevante Informationen je nach Integration der Name des Kontoinhabers, der Bankname, IBAN, BIC und verbundene Stripe-Kontokennungen oder der Onboarding-Status sein. Stripe kann direkt Geschäfts-, Vertreter- oder Identitätsprüfungsinformationen anfordern. Für diese Sammlung gelten deren Anforderungen und Datenschutzhinweise. DSL erhält nur die Informationen, die durch die konfigurierte Integration zur Verfügung gestellt werden.

Vollständige Zahlungskartennummern und Sicherheitscodes werden von Stripe verarbeitet und von Xarfi nicht als vollständige Kartenanmeldeinformationen gespeichert.

5.6 Bewertungen und Einschränkungen

Bewertungen, Bewertungstext, Anzeigeinformationen des Rezensenten, relevante Buchungsreferenzen, Berichte, Moderationsaufzeichnungen und von einem Unternehmen oder der Plattform auferlegte Einschränkungen für Buchungen. Wir verarbeiten Einschränkungsgründe nur, wenn dies erforderlich und rechtmäßig ist.

5.7 Kommunikation und Benachrichtigungen

Support-Korrespondenz, Kontaktinformationen, Nachrichteninhalte, Benachrichtigungseinstellungen, Zustellungs- oder Fehlerstatus, sofern aufgezeichnet, und ein Firebase Cloud Messaging-Registrierungstoken, wenn Browser-Push-Benachrichtigungen aktiviert sind.

5.8 Vertrauliche Informationen

Xarfi ist nicht als System für medizinische Aufzeichnungen gedacht. Fügen Sie keine Diagnosen, Krankengeschichten, Allergien, religiöse Informationen oder andere sensible Informationen in öffentliche Profile, Rezensionen oder gewöhnliche Freitextfelder ein.

Eine Dienstauswahl oder Nachricht kann unter bestimmten Umständen dennoch Gesundheitsinformationen preisgeben. Eine allgemeine Vertragsgrundlage gemäß Art. 6 DSGVO berechtigt für sich genommen nicht zur Verarbeitung von Daten besonderer Kategorie. Jede Funktion, die solche Informationen absichtlich sammelt, erfordert vor der Aktivierung eine gesonderte Bewertung, eine anwendbare Bedingung gemäß Artikel 9 und geeignete Sicherheitsvorkehrungen. Ein Salon kann seine eigenen gesetzlichen Pflichten hinsichtlich der für eine Behandlung erforderlichen Informationen haben; Dadurch wird DSL nicht automatisch zur Wiederverwendung autorisiert.

Profilfotos werden zur Anzeige und nicht zur biometrischen Identifizierung verwendet. Bei einem gewöhnlichen Lichtbild handelt es sich nicht automatisch um biometrische Daten im Sinne von Artikel 9 DSGVO.

6 Zwecke und Rechtsgrundlagen

Wir nutzen ausschließlich die für die konkrete Tätigkeit geltenden Rechtsgrundlagen. Unter Vertragserforderlichkeit versteht man die Schritte, die Sie vor Vertragsabschluss anfordern, sowie Verarbeitungsvorgänge, die für die Erfüllung unseres Vertrags mit Ihnen objektiv erforderlich sind. Für einen Salonmitarbeiter, der nicht persönlich unser Vertragspartner ist, stützt sich die notwendige Verwaltung normalerweise auf berechtigte Interessen und nicht auf den Vertrag des Salons, als wäre es der eigene Vertrag des Mitarbeiters.

Die Verarbeitung berechtigter Interessen unterliegt der Abwägung Ihrer Interessen, Rechte und Freiheiten. Sie können wie in Abschnitt 15 beschrieben Widerspruch einlegen. Mit dieser Mitteilung wird weder eine Einwilligung angefordert noch aufgezeichnet.

7 Welche Informationen erforderlich sind

Als Pflichtfelder gekennzeichnete Felder werden für das jeweilige Konto, die Buchung, die Bestellung, die Zahlung oder die Geschäftsfunktion benötigt. Wenn sie nicht bereitgestellt werden, ist diese Funktion möglicherweise nicht verfügbar. Von den vertraglich erforderlichen Daten sind die gesetzlich vorgeschriebenen Daten, wie z. B. die angegebenen Rechnungsdetails, zu unterscheiden.

Optionale Profilinformationen, Google-Login, genauer Standort und Browser-Push-Erlaubnis sind keine Voraussetzungen für die Nutzung unabhängiger Kernfunktionen. Sie können die E-Mail- und Passwort-Registrierung sowie die manuelle Standortsuche nutzen, sofern dies angeboten wird.

Die Bereitstellung optionaler Informationen gewährt uns kein uneingeschränktes Recht, diese zu nutzen. Neben einem Feld angezeigte Informationen erläutern dessen Verwendungszweck. Wir benötigen keine pauschale Zustimmung zu allen Verarbeitungen als Voraussetzung für die Registrierung.

8 Öffentliche Informationen und Zugang zu Terminen

Saloneinträge und Berufsprofile sollen öffentlich zugänglich sein. Sie können von Suchmaschinen indiziert, von Besuchern kopiert werden und nach Änderungen vorübergehend im Cache Dritter verbleiben.

Private Kontodaten, Bankdaten, Dokumente zur Identitätsprüfung und private Kundenkontaktinformationen sind nicht für die öffentliche Anzeige bestimmt.

Das zuständige Salon- und autorisierte Personal erhält die für die Dienstleistung oder Bestellung erforderlichen Kunden- und Termindaten. Der Zugang des Personals muss entsprechend seinen Aufgaben eingeschränkt werden. Ein Teammitglied hat keinen Anspruch auf uneingeschränkten Kundenzugriff, nur weil es über ein Hauptkonto verfügt.

9 Servicenachrichten und Marketing

Wir versenden Servicemitteilungen, die für die Kontoverifizierung, Buchungen, Änderungen, Stornierungen, Bestellungen, Abonnements, Sicherheitshinweise und rechtliche Hinweise erforderlich sind. Diese Mitteilungen sind von Werbung zu unterscheiden.

Werbung per E-Mail oder über einen anderen elektronischen Kanal erfolgt mit der für diesen Kanal erforderlichen Einwilligung, sofern keine besondere gesetzliche Ausnahme vorliegt. Die Erlaubnis zur Browser-Benachrichtigung stellt nicht automatisch eine Einwilligung in werbliche Nachrichten dar.

Für Bestandskunden-E-Mail-Marketing gemäß § 7 Abs. 3 UWG müssen alle Voraussetzungen erfüllt sein: Wir haben die E-Mail-Adresse im Rahmen eines Verkaufs erhalten; die Werbung unsere eigenen ähnlichen Waren oder Dienstleistungen betrifft; der Kunde hat nicht widersprochen; und wir haben bei der Erhebung der Adresse und in jeder Marketingmitteilung klar über das Widerspruchsrecht informiert. Es fallen keine über die Grundübermittlungskosten hinausgehenden Kosten an.

Sie können sich über den Link in einer Marketing-E-Mail abmelden oder uns kontaktieren. Der Widerspruch gegen Direktmarketing stoppt diese Verarbeitung, einschließlich der damit verbundenen Profilierung. Es kann ein minimaler Unterdrückungsdatensatz verbleiben, um weitere unerwünschte Nachrichten zu verhindern. Wesentliche Servicekommunikation kann bei Bedarf fortgesetzt werden.

10 Empfänger und Dienstleister

Wir geben personenbezogene Daten nur weiter, wenn dies für die angegebenen Zwecke und auf einer angemessenen Rechtsgrundlage erforderlich ist.

Zu den Empfängern können gehören:

• Der ausgewählte Salon, Verkäufer oder Fachmann und sein autorisiertes Personal.
• Stripe für Zahlungen, Abonnements und Connect-Auszahlungen.
• Google-Dienstanbieter für ausgewählte Anmeldung, Kartierung, Ortssuche und Firebase-Messaging-Funktionen.
• Hosting-, Infrastruktur-, Backup- und Transaktions-E-Mail-Anbieter, die in der Anbieterliste unten aufgeführt sind.
• Autorisierte externe Auftragnehmer, die von DSL beauftragt werden, sofern erforderlich und vorbehaltlich der geltenden Verarbeitungs- oder Vertraulichkeitsvereinbarungen.
• Professionelle Berater, Gerichte und Behörden, sofern die Offenlegung erforderlich und rechtmäßig ist.

Wir verkaufen keine personenbezogenen Daten. Die Rolle eines Anbieters hängt von seinem Dienst ab: Einige fungieren als Auftragsverarbeiter, während andere Daten auch als unabhängige Verantwortliche für ihre eigenen rechtlichen oder dienstlichen Zwecke verarbeiten. Sofern erforderlich, werden Auftragsverarbeiter gemäß Art. 28 DSGVO eingesetzt. Wenn DSL als Auftragsverarbeiter eines Salons fungiert, unterliegen seine Unterauftragsverarbeiter der geltenden Datenverarbeitungsvereinbarung für den Salon.

Anbieterplan

Datenschutzhinweise der Anbieter erläutern ihre eigene Verarbeitung; Sie ersetzen nicht unsere Verpflichtung zur Offenlegung durch Xarfi.

11 Internationale Übermittlungen

Einige Anbieter oder deren autorisiertes Supportpersonal können personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten. Die Auswahl einer EU-Serverregion allein schließt internationalen Zugriff oder Übertragungen nicht aus.

Bei Bedarf verwenden wir einen gültigen Kapitel V DSGVO-Übertragungsmechanismus. Dies kann ein anwendbarer Angemessenheitsbeschluss der Europäischen Kommission sein, einschließlich des EU-US-Datenschutzrahmens (nur wenn der jeweilige US-Empfänger über eine aktive Zertifizierung für die Übermittlung verfügt), oder die Standardvertragsklauseln der Europäischen Kommission zusammen mit der erforderlichen Bewertung und zusätzlichen Schutzmaßnahmen.

Sie können sich an [email protected] wenden, um Informationen über die geltenden Schutzmaßnahmen und eine Kopie, sofern verfügbar, mit dem erforderlichen Schutz vertraulicher Informationen und Rechte Dritter zu erhalten.

12 Cookies und ähnliches Technologien

Xarfi verwendet Cookies und, sofern implementiert, lokale Speicherung oder ähnliche Browsertechnologien für Authentifizierung, Kontorollen, Einrichtungsfortschritt, Einstellungen und optionale Funktionen.

Gemäß Abschnitt 25 TDDDG erfordert das Speichern von Informationen auf Ihrem Gerät oder der Zugriff auf Informationen von Ihrem Gerät im Allgemeinen eine Einwilligung, sofern keine Ausnahme vorliegt. Die unbedingt erforderliche Ausnahme gilt nur dann, wenn der Vorgang zur Bereitstellung einer von Ihnen ausdrücklich gewünschten digitalen Dienstleistung erforderlich ist. Für jede damit verbundene Verarbeitung personenbezogener Daten ist ebenfalls eine entsprechende DSGVO-Grundlage erforderlich.

Erforderliche Authentifizierung und angeforderte Einrichtungsvorgänge können unter diese Ausnahme fallen. Weitere Merkmale müssen individuell beurteilt werden. Ein Cookie wird nicht allein deshalb notwendig, weil es als funktional beschrieben wird.

Im Falle einer Einwilligung wird die entsprechende Technologie erst nach Einwilligung aktiviert. Die Einwilligungsoptionen müssen verfügbar sein, bevor die optionale Aktivierung möglich ist, und der Widerruf muss so einfach sein wie die Erteilung der Einwilligung. Das Blockieren von Cookies in Ihrem Browser kann dazu führen, dass die Anmeldung oder andere angeforderte Funktionen nicht funktionieren.

Google Maps, Places, Anmeldung und Firebase-Integrationen müssen sowohl auf den Gerätezugriff als auch auf die Offenlegung personenbezogener Daten überprüft werden. Jede für eine bestimmte Integration erforderliche Einwilligung muss diese Integration abdecken; Die Browser-Standorterlaubnis allein berechtigt nicht zur gesamten Verarbeitung durch Google.

13 Wie lange wir personenbezogene Daten speichern

Wir speichern personenbezogene Daten nur so lange, wie es für ihren Zweck, geltende gesetzliche Pflichten oder die Begründung, Ausübung oder Verteidigung von Ansprüchen erforderlich ist. Wenn nur bestimmte Datensätze aufbewahrt werden müssen, bewahren wir nicht unnötig das gesamte Konto auf.

Wenn DSL Daten ausschließlich als Auftragsverarbeiter eines Salons speichert, regeln die dokumentierten Anweisungen des Salons und die geltende Vereinbarung die Rückgabe oder Löschung, vorbehaltlich der für DSL geltenden gesetzlichen Verpflichtungen.

14 Sicherheit

Wir nutzen technische und organisatorische Maßnahmen, die der Art der Verarbeitung und den Risiken für Einzelpersonen angemessen sind. Zu den relevanten Maßnahmen gehören Zugriffsverwaltung, Vertraulichkeit, sichere Authentifizierung, Schutz der Daten bei der Übertragung, Wartung und Vorfallbehandlung, soweit sie für den Live-Dienst implementiert und überprüft wurden.

Kein Online-Dienst kann absolute Sicherheit garantieren. Wenn es zu einem Verstoß gegen den Schutz personenbezogener Daten kommt, prüfen und erfüllen wir die geltenden Meldepflichten, einschließlich der Information betroffener Personen, sofern dies gesetzlich vorgeschrieben ist.

15 Ihre Rechte

Vorbehaltlich der Bedingungen und Ausnahmen in der DSGVO haben Sie das Recht:

• Auf Ihre personenbezogenen Daten zuzugreifen und eine Kopie zu erhalten.
• Unrichtige Informationen korrigieren und unvollständige Informationen vervollständigen.
• Löschung beantragen.
• Einschränkung beantragen Verarbeitung.
• Erhalten Sie die von Ihnen bereitgestellten Daten in einem strukturierten, gängigen, maschinenlesbaren Format, in dem die Verarbeitung automatisiert erfolgt und auf Einwilligung oder Vertrag basiert, und lassen Sie sie übermitteln, sofern dies technisch machbar ist.
• Widerrufen Sie Ihre Einwilligung jederzeit, ohne dass dadurch die Rechtmäßigkeit der Verarbeitung vor dem Widerruf berührt wird.
• Widerspruch aus Gründen, die sich auf Ihre besondere Situation beziehen, gegen die Verarbeitung gemäß Artikel 6 Absatz 1 Buchstaben e oder f, einschließlich der damit verbundenen Profilierung. Wir stellen dann die Verarbeitung ein, es sei denn, die DSGVO erlaubt eine weitere Verarbeitung, beispielsweise aufgrund zwingender zwingender Gründe oder Rechtsansprüche.
• Widerspruch gegen Direktmarketing, einschließlich damit verbundener Profilerstellung, jederzeit. We then stop processing for that purpose.
• Lodge a complaint with a supervisory authority.

Contact [email protected] or write to DSL at the address in section 1. We may request proportionate information to verify identity where there are reasonable doubts. We do not routinely require an identity-document copy for every request.

We respond without undue delay and normally within one month of receiving a request. Where permitted because of complexity or the number of requests, we may extend by up to two further months and explain the extension within the initial month. Requests are generally free; statutory exceptions apply to manifestly unfounded or excessive requests.

For processing controlled by a salon, contact that salon. If you contact us, we explain the relevant responsibilities and assist as required. Where we act solely as a processor, we support the responsible salon in handling rights requests.

You may complain to the authority in the EU Member State of your habitual residence, place of work or the alleged infringement. The Berlin authority is:

Berliner Beauftragte für Datenschutz und Informationsfreiheit

Alt-Moabit 59–61

10555 Berlin, Germany

Email: [email protected]

Website: https://www.datenschutz-berlin.de

16 Automated decisions and profiling

If no such decisions are used, publish: “We do not make decisions based solely on automated processing that produce legal effects concerning you or similarly significantly affect you within Article 22 GDPR.”

If such processing is used, replace that sentence with a specific explanation of the processing, applicable legal conditions, meaningful information about its logic, its significance and likely consequences, and the applicable safeguards and challenge rights. Ordinary ranking by location or availability should also be described accurately where it involves profiling, even if Article 22 does not apply.

17 Children and guest appointments

Xarfi accounts are intended for people aged 18 or over. An adult may book an appointment for a younger guest where authorised to do so and subject to the relevant provider's service requirements.

Only the minimum guest information needed for the booking should be provided. An adult's booking does not authorise unrelated use of a child's information. If an underage account or unnecessary child information is identified, we assess the appropriate restriction, correction or deletion.

18 Changes to this notice

We update this notice when the service, processing arrangements or legal requirements change. The current version and its date are published on the platform. We provide additional notice of material changes where appropriate or legally required.

An updated notice does not itself create a new legal basis. If new processing requires consent, we obtain that consent before starting the processing. Continued use of the platform is not treated as consent to every change.

Client Privacy Addendum

C1 Your account and appointments

DSL processes your account information to provide access to Xarfi and your booking or order information to provide the requested platform service. We send necessary confirmations, changes and relevant service notices. Optional promotional messages are governed separately by section 9.

The relevant salon or seller receives information needed for the appointment or order. Assigned personnel receive access appropriate to their duties. Your bank or card details are not part of an ordinary professional's customer appointment view.

C2 Optional features

Precise location, browser push and Google sign-in are optional. You can search by area and use email-and-password registration where available. Withdrawing permission for one optional feature does not automatically delete your account or cancel an existing booking.

C3 Guest bookings

If booking for someone else, provide accurate information you are entitled to share and make this notice available to them. Do not add their sensitive information to ordinary notes. Where feasible, guests receive the privacy information directly through the booking process; otherwise an appropriate information arrangement must be implemented.

The guest may contact DSL concerning their own data without needing access to the booking person's account. Identity verification will protect both people's information.

C4 Reviews and restrictions

Reviews are intended for the public audience identified in section 8. Avoid including contact details, medical information or other people's private information. We may investigate reported content and process necessary moderation records.

A salon restriction is not automatically a platform-wide ban. You may contact us to correct inaccurate restriction information and exercise applicable objection rights.

C5 Account closure

You may request account deletion at [email protected] and through any available account-deletion function. Closing the account does not itself determine whether an existing appointment is cancelled, whether payment is due or whether a refund applies; those matters are governed by the relevant contracts and applicable law.

We remove information that is no longer needed and retain only records justified by a separate legal purpose. A salon may independently retain information it lawfully needs; its own notice explains that retention.

Salon Privacy Addendum

S1 Business and representative information

DSL processes business profile information, business contact details and representative information to establish the salon account, review applications, publish the intended listing, administer access and provide the subscribed functions. Approval records may include application details and necessary verification correspondence.

Subscription records include the selected plan, price, currency, interval, renewal information and enabled shop features. Bank and payment-onboarding details are used for the relevant payment and billing functions and are not public listing information.

S2 Customer information and responsibilities

The salon acts as controller for its own customer-service and treatment activities. It must identify its own purposes and legal bases, provide appropriate privacy information, limit access, handle rights requests, apply appropriate retention and security measures, and comply with any special-category-data requirements.

Receiving booking information does not provide unrestricted permission for unrelated marketing. The salon must establish its own lawful basis and comply with the rules applicable to the marketing channel. Platform data must not be disclosed or exported for an unrelated private purpose without a lawful basis and any required contractual authorisation.

These statements describe privacy responsibilities; detailed commercial restrictions belong in the salon terms or applicable agreements.

S3 Team profiles and access

The salon may provide professional profile and availability information for its team. The salon must have a lawful basis for sharing and publishing that information and inform team members appropriately. It should ensure that photographs and portfolio materials can lawfully be used.

Access permissions should correspond to actual duties and be reviewed when responsibilities change. Access must be removed when no longer authorised. Shared credentials and unrestricted exports increase privacy risks and should be prevented through appropriate controls.

S4 Processor functions

If DSL supplies a function solely on the salon's documented instructions, the relevant Article 28 agreement governs that processing. It must address the scope, authorised instructions, confidentiality, security, subprocessors, assistance with rights and incidents, and return or deletion.

For DSL's separate platform-controller activities, this notice applies. If an activity involves genuine joint determination of purposes and means, the parties must assess whether an Article 26 arrangement is required and provide the necessary information. This notice does not assume joint controllership merely because both parties use appointment data.

S5 Ending the subscription

Ending the subscription may affect listing visibility and access according to the applicable contract. It does not authorise indefinite retention of all customer or team information. Controller records follow their lawful retention purpose; processor-held data follows the applicable agreement and legal requirements.

Master and Team Member Privacy Addendum

M1 Information about you

Your salon may create or manage your professional profile and access. Relevant information includes name, photograph, professional description, contact information, services, target groups, working times, breaks, availability and assigned appointments. We obtain this from you, the salon and activity within the platform.

The intended public profile fields are specified in section 8. Private contact information, internal schedules and leave reasons must not be assumed to be public. Only availability information necessary for booking should be disclosed to clients.

M2 Your role and customer access

Employees generally act under the salon's authority. Independent professionals may have their own controller responsibilities depending on their actual business arrangement. A “master” account label does not settle that question.

Customer information is made available according to authorised duties. It is not a personal customer list that may automatically be retained for private use. Any independent use or disclosure requires its own lawful basis and must respect applicable confidentiality and contractual duties.

M3 Corrections and departure

You can request correction of your information from the salon or DSL, as appropriate to the processing. Other GDPR rights remain available after your account becomes inactive; they are not limited to the period of employment.

When you leave, the salon should remove access and update its current listing. A limited historical reference to the professional who performed an appointment may remain where necessary for a lawful record or claim. A public active profile should not remain merely because a historical booking exists.

M4 Notifications

Optional browser push, session technologies and service communications follow the main notice. Personal-device permission does not authorise unrestricted sharing of customer information through notifications. Notification content and lock-screen visibility should be limited appropriately.

Product ownership statement

Xarfi is owned, developed, maintained and operated by Digital Solution Lab – DSL UG (haftungsbeschränkt). DSL is the company behind the Xarfi product, brand and platform technology.

Any software, trademark, licensing and intellectual-property rights are subject to applicable law, the relevant agreements, third-party rights and open-source licences. This privacy notice does not transfer intellectual-property rights or establish a software licence.

Product ownership does not mean ownership of individuals' personal data and does not restrict their GDPR rights. Rights in user or salon content are governed separately by the applicable terms and law.