Aufbewahrung & Löschung
Diese Seite beschreibt, wie unsere Systeme heute tatsächlich mit dem Löschen und Aufbewahren von Daten umgehen. Aufbewahrungsfristen nennen wir dort, wo sie festgelegt und technisch umgesetzt sind.
Wie eine Löschanfrage für ein Kundenkonto heute abläuft
1. Anfrage: Angemeldete Kundinnen und Kunden stellen die Anfrage in den Kontoeinstellungen im Bereich Datenschutz; ohne Anmeldung ist eine Anfrage per E-Mail an legal@stylingcorner.ch möglich. Eine Selbstbedienungs-Löschung per Knopfdruck gibt es nicht.
2. Identitätsprüfung: Das Datenschutz-Team prüft manuell, ob die anfragende Person Inhaberin bzw. Inhaber des Kontos ist, und hält das Ergebnis in der Anfrage fest. Ohne bestätigte Identität wird nichts ausgeführt.
3. Ausführung: Eine berechtigte Administratorin bzw. ein berechtigter Administrator (nur die Rollen Super-Admin und Plattform-Admin) führt die De-Identifizierung mit Begründung und ausdrücklicher Bestätigung aus. Die Ausführung wird im Audit-Protokoll ohne Personendaten (nur Anzahl widerrufener Sitzungen/Geräte) vermerkt, und die Anfrage wird abgeschlossen.
Was die De-Identifizierung bewirkt — und was nicht
Im Kundenkonto werden die identifizierenden Angaben ersetzt oder entfernt: Die E-Mail-Adresse wird durch eine nicht zustellbare Platzhalter-Adresse ersetzt, der Name durch «Anonymisiertes Konto», Telefonnummer und Profilbild werden entfernt und das Passwort wird unbrauchbar gemacht. Das Konto wird gesperrt, alle Marketing-Einstellungen werden ausgeschaltet und dieser Widerruf wird im Einwilligungsprotokoll vermerkt. Alle Sitzungen werden gelöscht, gemerkte Geräte und Push-Geräte widerrufen und offene Anmeldecodes ungültig gemacht.
Das ist keine unumkehrbare Anonymisierung des gesamten Datenbestands. Die interne Konto-ID bleibt bestehen, ebenso Sprache, Erstellungsdatum und die Zeitpunkte der E-Mail-Bestätigung und der AGB-Bestätigung. Über diese ID bleiben verknüpfte Datensätze erhalten (siehe nächster Abschnitt). Wer Zugriff auf diese verknüpften Datensätze hat, kann sie weiterhin demselben — nun de-identifizierten — Konto zuordnen.
Verbleibende Kopien und wer sie verantwortet
Bei Stylingcorner (verantwortlich: Stylingcorner): Favoriten, zuletzt angesehene Salons, verfasste Bewertungen (Text bleibt öffentlich, pseudonymisiert dargestellt), In-App-Benachrichtigungen, Support-Fälle, frühere Datenschutzanfragen (mit der damals angegebenen E-Mail-Adresse und dem Namen) sowie allfällige frühere Datenexporte, die die ursprünglichen Kontaktdaten enthalten. Diese werden von der De-Identifizierung derzeit nicht verändert. Grund: Es besteht noch kein Entscheid und keine Funktion für deren Löschung; einzelne Datensätze (z. B. Bewertungen, Datenschutzanfragen) dienen zudem der Integrität der Plattform und dem Nachweis der Bearbeitung.
Buchungen und Zahlungsabläufe (verantwortlich: Salon für den Termin und die Zahlung; Stylingcorner für den Buchungs- und Checkout-Ablauf): Termine, Checkout-Sitzungen und die bei der Buchung festgehaltenen Stornobedingungen bleiben erhalten, weil sie Grundlage des Vertrags zwischen Kundschaft und Salon und allfälliger Rückerstattungen sind.
Kundendatei des Salons (verantwortlich: der Salon; Stylingcorner ist Auftragsbearbeiterin): Der Kundendatensatz, den ein Salon in seiner Kundenverwaltung führt (Name, Kontaktdaten, Geburtstag, Einwilligungen, Notizen, Terminhistorie), wird durch die Konto-De-Identifizierung nicht verändert. Eine Löschung dort ist Sache des Salons; wir leiten entsprechende Anfragen an ihn weiter.
Zahlungsdaten bei Stripe (verantwortlich: Stripe bzw. der Salon als Zahlungsempfänger): Stripe bewahrt Zahlungsdaten nach eigenen Bedingungen auf. Buchhaltungsrelevante Belege (Verkäufe, Zahlungen, Rückerstattungen, Abo-Rechnungen) werden bei uns nicht hart gelöscht; für Geschäftsbücher und Buchungsbelege gilt die gesetzliche Aufbewahrungspflicht nach Art. 958f OR (zehn Jahre) — dies betrifft nur Buchhaltungsunterlagen, nicht andere Daten.
Audit-Protokolle (verantwortlich: Stylingcorner): werden nur angefügt, nie überschrieben, und dienen der Sicherheit und dem Nachweis administrativer Handlungen. Eine Frist ist nicht festgelegt.
Nachrichten: Eine Chat- oder Nachrichtenfunktion gibt es nicht. E-Mails werden über den Versanddienst Resend zugestellt; Resend bewahrt Versandprotokolle 30 Tage und Backups 7 Tage auf.
Backups (verantwortlich: Stylingcorner, Hosting bei Infomaniak): Datenbank und hochgeladene Dateien werden täglich gesichert, vor dem Verlassen des Servers verschlüsselt und in der Schweiz gespeichert; die verschlüsselten Kopien werden nach 30 Tagen gelöscht. De-identifizierte Angaben können bis zum Ablauf eines Backups darin enthalten bleiben.
Betriebe (PRO) nach Vertragsende
Für Betriebskonten gibt es derzeit keinen automatisierten Lösch- oder Anonymisierungsablauf nach Vertragsende. Daten eines Betriebs (Termine, Kundendatei, Verkäufe, Team) bleiben gespeichert, bis sie auf Anfrage manuell bearbeitet werden. Rückgabe und Löschung erfolgen auf Anfrage an legal@stylingcorner.ch, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.
Festgelegte Fristen
Fristen nennen wir dort, wo sie festgelegt und im System umgesetzt sind: PRO-In-App-Benachrichtigungen werden nach 90 Tagen gelöscht, Server-Protokolle nach 14 Tagen und Backups nach 30 Tagen. Für alle übrigen Kategorien gibt es keine feste Frist: Die Daten bleiben gespeichert, bis eine Löschung beantragt wird (Ablauf siehe oben).
Grundlage ist eine Prüfung des Datenbankschemas und der Hintergrundprozesse vom 16.09.2026 sowie der Produktionsserver vom 23.09.2026.
| Kategorie | Aktuelles technisches Verhalten | Verantwortlich | Festgelegte Frist |
|---|---|---|---|
| Marketplace-Kundenkonto | Auf verifizierte Löschanfrage De-Identifizierung durch Admin: E-Mail, Name, Telefon, Profilbild und Passwort ersetzt bzw. entfernt, Konto gesperrt, Sitzungen gelöscht, Geräte widerrufen. Konto-ID, Sprache und Zeitstempel bleiben. | Stylingcorner | — |
| Mit dem Konto verknüpfte Datensätze (Favoriten, zuletzt angesehen, Bewertungen, In-App-Benachrichtigungen, Support-Fälle, frühere Datenschutzanfragen und Datenexporte) | Bleiben nach der De-Identifizierung über die Konto-ID erhalten; frühere Anfragen und Exporte enthalten die ursprünglichen Kontaktdaten. | Stylingcorner | — |
| Termine, Checkout-Sitzungen, festgehaltene Stornobedingungen | Bleiben erhalten; Grundlage des Behandlungsvertrags und allfälliger Rückerstattungen. | Salon (Termin, Zahlung) / Stylingcorner (Buchungsablauf) | — |
| Kundendatei des Salons (CRM-Kundendatensatz, Notizen, Termin-Anmerkungen) | Nur ein Aktiv/Inaktiv-Kennzeichen, keine automatische Löschung; von der Konto-De-Identifizierung nicht betroffen. Freitext kann im Einzelfall sensible Angaben enthalten. | Salon (Stylingcorner als Auftragsbearbeiterin) | — |
| Verkäufe, Zahlungen, Rückerstattungen, Gutscheine, Abo-Rechnungen | Nur anfügend, nie hart gelöscht. Für Geschäftsbücher und Buchungsbelege gilt Art. 958f OR (zehn Jahre) — nur für Buchhaltungsunterlagen. | Salon (Kundenzahlungen) / Stylingcorner (PRO-Abo) | — |
| Kartenmarke/letzte 4 Ziffern/Ablaufdatum des PRO-Zahlungsmittels | In der Anwendungsdatenbank zur Anzeige gespeichert. | Stylingcorner | — |
| Verifizierungs- und Ausweisdokumente (Beanspruchung, Verifizierung) | Privater, nicht öffentlicher Speicher; keine Aufbewahrungs- oder Löschfunktion. | Stylingcorner | — |
| Krankheits-Zeitblöcke von Mitarbeitenden (mit optionaler Notiz) | Kein Ablauf- oder Löschfeld. | Salon (Stylingcorner als Auftragsbearbeiterin) | — |
| Einwilligungen (Marketing-Einstellungen) | Aktueller Stand als Ja/Nein. Änderungen über den Datenschutzbereich des Kontos und bei einer De-Identifizierung werden zusätzlich mit Zeitpunkt protokolliert (nur anfügend); Änderungen über die allgemeinen Profileinstellungen und ältere Einstellungen haben noch keinen Zeitstempel. | Stylingcorner bzw. Salon (eigene Einwilligungen der Salon-Kundschaft) | — |
| Eigene Nutzungsstatistik (Website) | Ereignisse ohne Konto-, Namens- oder IP-Bezug; keine automatische Löschung. | Stylingcorner | — |
| PRO-In-App-Benachrichtigungen | Werden von einem täglichen Hintergrundprozess automatisch gelöscht. | Stylingcorner | 90 Tage (im Code umgesetzt) |
| Anmeldecodes und Sitzungen | Abgelaufene Kundensitzungen werden bei der nächsten Verwendung gelöscht; für Anmeldecodes und PRO-Sitzungen gibt es keine automatische Bereinigung. | Stylingcorner | — |
| Audit-Protokolle und interne Admin-Vermerke | Nur anfügend, ohne Ablauffeld. | Stylingcorner | — |
| Importierte Unternehmenseinträge und Import-Rohdaten | Eintrag kann offline genommen werden; Eintrag und ursprünglicher Importdatensatz bleiben gespeichert. | Stylingcorner (bis zur Beanspruchung) | — |
| Server-Protokolle der API | Anfragemethode, Adresse (inkl. Suchparameter, bei der App-Suche z. B. Koordinaten), Status und Dauer. Die Protokolle der Anwendung und des Webservers werden täglich rotiert und danach gelöscht. | Stylingcorner | 14 Tage |
| Backups | Tägliche Backups der Datenbank und der hochgeladenen Dateien. Sie werden verschlüsselt, bevor sie den Server verlassen, und in der Schweiz gespeichert (Infomaniak). Auf dem Server bleiben Datenbank-Backups 14 Tage und Datei-Backups 3 Tage. | Stylingcorner (Hosting: Infomaniak) | 30 Tage (verschlüsselte Kopie) |