Datenschutzerklärung

Halo Labs GmbH · Stand: 26. Oktober 2026

1. Verantwortlicher und Kontaktdaten

Halo Labs GmbH

Jahnstr. 25, 80469 München, Deutschland

E-Mail: [email protected]

Telefon: +49 159 0200 7800

Die Bestellung einer oder eines Datenschutzbeauftragten ist gesetzlich nicht erforderlich. Für alle datenschutzrechtlichen Anfragen wende dich bitte an die oben genannte Adresse.

2. Übersicht der Datenverarbeitung

Die Halo Labs GmbH bietet ärztlich durchgeführte ästhetische Behandlungen an. Wir erbringen unsere Leistungen über unsere Website myhalolabs.com, die Buchung unter book.myhalolabs.com und das Kundenportal unter app.myhalolabs.com (zusammen die „Plattform“). Diese Datenschutzerklärung erläutert, wie wir deine personenbezogenen Daten erheben, verwenden, speichern und schützen.

Wir verarbeiten personenbezogene Daten nur im erforderlichen Umfang und im Einklang mit der DSGVO, dem BDSG und dem TDDDG.

3. Kategorien personenbezogener Daten

3.1 Von dir direkt bereitgestellte Daten

• Name, E-Mail-Adresse, Telefonnummer, Postanschrift
• Geburtsdatum und Geschlecht (soweit für Behandlungen relevant)
• Buchungs- und Termindaten
• Zahlungs- und Rechnungsdaten (verarbeitet über PayPal, SumUp und Finom)
• Kommunikation mit uns (E-Mail, WhatsApp, Nachrichten im Kundenportal)
• Feedback und Bewertungen

3.2 Gesundheits- und medizinische Daten (besondere Kategorien)

Wir verarbeiten gesundheitsbezogene Daten nach Art. 9 DSGVO, darunter:

• behandlungsrelevante Krankengeschichte (Allergien, Hauterkrankungen, Medikamente)
• Behandlungsaufzeichnungen und ärztliche Notizen
• Vorher- und Nachher-Fotos (mit deiner Einwilligung)
• Anamnese- und Gesundheitsfragebögen

Rechtsgrundlage: Art. 9 Abs. 2 lit. a DSGVO (Einwilligung) bzw. Art. 9 Abs. 2 lit. h DSGVO in Verbindung mit § 22 BDSG. Eine Einwilligung kannst du jederzeit widerrufen (Abschnitt 10).

3.3 Automatisch erhobene Daten

Beim Aufruf der Website verarbeitet unser Hosting-Anbieter technisch notwendige Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Referrer, Browser und Betriebssystem (Abschnitt 8).

4. Zwecke und Rechtsgrundlagen der Verarbeitung

4.1 Pflicht zur Bereitstellung

Für eine Terminbuchung und Behandlung benötigen wir deinen Namen, deine Kontaktdaten und die für die Behandlung erforderlichen Gesundheitsangaben. Ohne diese Angaben können wir keinen Termin vereinbaren und keine Behandlung durchführen. Gesetzlich verpflichtet bist du zur Bereitstellung nicht. Alle anderen Angaben (zum Beispiel Fotos, Feedback, Newsletter) sind freiwillig.

4.2 Empfängerkategorien

Deine Daten erhalten nur die Mitarbeitenden, die sie für ihre Aufgabe benötigen (Ärztinnen und Ärzte, Terminverwaltung), sowie die in Abschnitt 5 genannten Dienstleister als Auftragsverarbeiter oder eigene Verantwortliche. Darüber hinaus geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind (zum Beispiel an Finanzbehörden) oder du eingewilligt hast.

5. Dienstleister und Datenübermittlungen

5.1 Zahlungsabwicklung

• PayPal (Europe) S.à r.l. et Cie, S.C.A.: Zahlungsabwicklung als eigene Verantwortliche. Art. 6 Abs. 1 lit. b DSGVO.
• SumUp Limited: Kartenzahlung vor Ort. Art. 6 Abs. 1 lit. b DSGVO.
• Finom B.V.: Geschäftskonto und Finanzverwaltung. Art. 6 Abs. 1 lit. b / lit. c DSGVO.

5.2 Reichweitenmessung

Wir setzen keine Werbe- oder Analyse-Cookies und keine Reichweitenmessung ein.

5.3 Keine Inhalte von Drittanbietern

Die Website lädt keine Inhalte von Drittanbietern nach. Instagram-Beiträge und Google-Bewertungen liefern wir von unseren eigenen Servern aus (Abschnitt 5.10); beim Besuch der Website wird dafür keine Verbindung zu Meta oder Google hergestellt.

5.4 Buchungssystem und Kundenportal

Eigenes System der Halo Labs GmbH, betrieben auf Supabase (Supabase, Inc.) im Rechenzentrum Frankfurt am Main (eu-central-1). Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO liegt vor. Art. 6 Abs. 1 lit. b DSGVO, für Gesundheitsdaten Art. 9 Abs. 2 lit. a / lit. h DSGVO.

5.5 E-Mail-Versand

Buchungsbestätigungen, Erinnerungen und Anmeldelinks versenden wir über Mailgun Technologies, Inc., Verarbeitung in der EU-Region. Art. 6 Abs. 1 lit. b DSGVO.

5.6 Fehlerprotokollierung

Zur Erkennung technischer Fehler in Buchung und Kundenportal nutzen wir Sentry (Functional Software, Inc.), Datenregion EU. Übermittelt werden technische Daten zum Fehler (Browser, Seite, Zeitpunkt), keine Gesundheitsdaten. Art. 6 Abs. 1 lit. f DSGVO.

5.7 Push-Benachrichtigungen

Im Kundenportal und für Mitarbeitende kannst du Benachrichtigungen im Browser erlauben (zum Beispiel Terminerinnerungen). Die Zustellung läuft über den Push-Dienst deines Browsers (Google, Apple oder Mozilla), der dafür eine technische Gerätekennung erhält, aber keine Inhalte deiner Behandlung. Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG), die du in den Browsereinstellungen jederzeit widerrufen kannst.

5.8 Kalender-Synchronisation

Unsere Ärztinnen und Ärzte können ihre Termine mit ihrem Google-Kalender abgleichen. Dabei werden an Google (Google Ireland Limited) nur Zeit, Dauer, Standort, die behandelnde Ärztin oder der behandelnde Arzt und eine interne Terminnummer übermittelt. Dein Name und die gebuchte Behandlung werden nicht an Google übertragen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.

5.9 WhatsApp

Wenn du uns über WhatsApp kontaktierst, verarbeitet WhatsApp (WhatsApp Ireland Limited, Meta) deine Telefonnummer und die Nachrichten. Bitte sende uns über WhatsApp keine Gesundheitsdaten; dafür steht das Kundenportal zur Verfügung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.

5.10 Instagram-Feed und Google-Bewertungen über eigene Server

Instagram: Beiträge unseres Instagram-Kontos zeigen wir direkt von unseren eigenen Servern an (Supabase, Rechenzentrum Frankfurt am Main, siehe 5.4). Dafür rufen wir unsere eigenen Beiträge über die offizielle Schnittstelle von Meta (Instagram API) ab, spätestens alle 30 Minuten, und speichern Bildadresse, Beschreibung, Link und Datum bei uns. Die Bilder liefert unser Server aus. Beim Besuch der Website wird keine Verbindung zu Meta hergestellt; verarbeitet wird dabei nur deine IP-Adresse bei unserem Hosting-Anbieter, soweit für die Auslieferung nötig. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Darstellung unseres eigenen Instagram-Auftritts).

Google-Bewertungen: Die öffentlichen Google-Bewertungen unserer Standorte rufen wir über die offizielle Schnittstelle von Google (Google Business Profile API) ab, höchstens alle sechs Stunden, und speichern sie bei uns. Gespeichert und angezeigt werden der Anzeigename und das Google-Profilbild der bewertenden Person, die Sternebewertung, der Text der Bewertung, das Datum und der Standort, dazu die Gesamtbewertung und die Anzahl der Bewertungen. Die Profilbilder liefern unsere eigenen Server aus; nur die Adresse des Bildes bei Google wird bei uns gespeichert, das Bild selbst lädt unser Server bei Google, und die Website lädt es von unserem Server. Beim Besuch der Website wird keine Verbindung zu Google hergestellt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Darstellung öffentlicher Bewertungen unseres Unternehmens). Löscht jemand eine Bewertung bei Google, verschwindet sie spätestens mit dem nächsten Abruf auch bei uns.

5.11 Internationale Datenübermittlungen

Bei Übermittlungen in Drittländer stellen wir angemessene Garantien sicher (Angemessenheitsbeschluss, EU-U.S. Data Privacy Framework oder Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO).

6. Speicherdauer

7. Cookies und vergleichbare Technologien

Die Website myhalolabs.com setzt keine Cookies. Wählst du im Sprachmenü eine Sprache, speichert die Website diese Auswahl im lokalen Speicher deines Browsers (Eintrag „halo-lang“, nur der Sprachcode, zum Beispiel „fr“), damit die Website bei deinem nächsten Besuch in dieser Sprache öffnet. Der Eintrag verlässt deinen Browser nicht und bleibt, bis du ihn löschst oder eine andere Sprache wählst. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (von dir ausdrücklich gewünschte Funktion). Weitere Daten speichert die Website nicht in deinem Browser.

Buchung und Kundenportal speichern technisch notwendige Anmelde- und Sitzungsdaten im Browser. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG.

Du kannst deine Auswahl jederzeit über „Datenschutz-Einstellungen“ im Footer ändern oder die gespeicherten Daten in deinen Browsereinstellungen löschen.

8. Hosting und technische Infrastruktur

8.1 Plattform

Buchung und Kundenportal laufen auf Supabase (Supabase, Inc.) in Frankfurt am Main (eu-central-1). Ein Auftragsverarbeitungsvertrag (Art. 28 DSGVO) liegt vor.

8.2 Website

Die Website und die Oberflächen von Buchung und Kundenportal werden über Cloudflare Pages ausgeliefert (Cloudflare, Inc., USA, Datenübermittlung auf Grundlage des EU-U.S. Data Privacy Framework). Cloudflare verarbeitet die technisch notwendigen Verbindungsdaten (Abschnitt 3.3), um die Seiten auszuliefern und vor Angriffen zu schützen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

8.3 Schriftarten

Alle Schriftarten werden von unseren eigenen Servern geladen. Es findet keine Verbindung zu Google Fonts statt.

9. Datensicherheit und ärztliche Schweigepflicht

Alle Ärztinnen, Ärzte und Mitarbeitenden unterliegen der ärztlichen Schweigepflicht (§ 203 StGB). Dienstleister, die Zugriff auf Gesundheitsdaten haben könnten, sind vertraglich zur Verschwiegenheit verpflichtet.

Wir setzen technische und organisatorische Maßnahmen nach Art. 32 DSGVO ein, darunter:

• Verschlüsselung der Datenübertragung (TLS)
• Zugriffskontrollen und rollenbasierte Berechtigungen
• Zwei-Faktor-Anmeldung für alle Mitarbeitenden
• regelmäßige Sicherheitsprüfungen und Updates
• Schulung der Mitarbeitenden zum Datenschutz
• Speicherung von Gesundheitsdaten mit eingeschränktem Zugriff

10. Deine Rechte nach der DSGVO

Zur Ausübung deiner Rechte kontaktiere uns über die Angaben in Abschnitt 1.

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch (Art. 21 DSGVO)
• Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO)
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO): Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach

10.1 Widerspruchsrecht

Du hast das Recht, aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit einer Verarbeitung zu widersprechen, die wir auf unser berechtigtes Interesse stützen (Art. 6 Abs. 1 lit. f DSGVO). Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen. Der Verwendung für Direktwerbung kannst du jederzeit ohne Angabe von Gründen widersprechen.

11. Minderjährige

Unsere Leistungen richten sich an Personen ab 18 Jahren. Wir erheben wissentlich keine personenbezogenen Daten von Minderjährigen unter 16 Jahren ohne Einwilligung der Eltern.

12. Automatisierte Entscheidungsfindung

Wir verwenden keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO.

13. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich unsere Verarbeitung ändert. Die aktuelle Fassung ist stets auf unserer Website abrufbar.

14. Kontakt

Halo Labs GmbH

Jahnstr. 25, 80469 München, Deutschland

E-Mail: [email protected]

Telefon: +49 159 0200 7800

Privacy Policy

Halo Labs GmbH · Last updated: 26 October 2026

1. Controller and contact details

Halo Labs GmbH

Jahnstr. 25, 80469 München, Deutschland

Email: [email protected]

Phone: +49 159 0200 7800

We are not legally required to appoint a data protection officer. For all data protection enquiries, please contact us at the address given above.

2. Overview of data processing

Halo Labs GmbH offers aesthetic treatments performed by physicians. We provide our services via our website myhalolabs.com, the booking system at book.myhalolabs.com and the customer portal at app.myhalolabs.com (together the "Platform"). This privacy policy explains how we collect, use, store and protect your personal data.

We process personal data only to the extent necessary and in accordance with the GDPR, the BDSG and the TDDDG.

3. Categories of personal data

3.1 Data you provide directly

• Name, email address, telephone number, postal address
• Date of birth and gender (where relevant for treatments)
• Booking and appointment data
• Payment and invoicing data (processed via PayPal, SumUp and Finom)
• Communication with us (email, WhatsApp, messages in the customer portal)
• Feedback and reviews

3.2 Health and medical data (special categories)

We process health data within the meaning of Art. 9 GDPR, including:

• medical history relevant to treatment (allergies, skin conditions, medication)
• treatment records and physicians' notes
• before and after photos (with your consent)
• medical history and health questionnaires

Legal basis: Art. 9(2)(a) GDPR (consent) or Art. 9(2)(h) GDPR in conjunction with Section 22 BDSG. You can withdraw your consent at any time (section 10).

3.3 Automatically collected data

When you visit the website, our hosting provider processes technically necessary data: IP address, date and time, page accessed, referrer, browser and operating system (section 8).

4. Purposes and legal bases of processing

4.1 Obligation to provide data

To book an appointment and carry out a treatment, we need your name, your contact details and the health information required for the treatment. Without this information, we cannot schedule an appointment or carry out a treatment. You are not legally obliged to provide it. All other information (for example photos, feedback, newsletter) is voluntary.

4.2 Categories of recipients

Your data is accessible only to those staff members who need it for their tasks (physicians, appointment management) and to the service providers named in section 5 acting as processors or as independent controllers. Beyond this, we only disclose data where we are legally obliged to do so (for example to tax authorities) or where you have given your consent.

5. Service providers and data transfers

5.1 Payment processing

• PayPal (Europe) S.à r.l. et Cie, S.C.A.: payment processing as an independent controller. Art. 6(1)(b) GDPR.
• SumUp Limited: card payments on site. Art. 6(1)(b) GDPR.
• Finom B.V.: business account and financial management. Art. 6(1)(b) / (c) GDPR.

5.2 Audience measurement

We do not use advertising or analytics cookies and do not measure website reach.

5.3 No third-party content

The website does not load content from third parties. We deliver Instagram posts and Google reviews from our own servers (section 5.10); visiting the website does not establish a connection to Meta or Google for this.

5.4 Booking system and customer portal

Proprietary system of Halo Labs GmbH, operated on Supabase (Supabase, Inc.) in the Frankfurt am Main data centre (eu-central-1). A data processing agreement pursuant to Art. 28 GDPR is in place. Art. 6(1)(b) GDPR, for health data Art. 9(2)(a) / (h) GDPR.

5.5 Email delivery

We send booking confirmations, reminders and sign-in links via Mailgun Technologies, Inc., with processing in the EU region. Art. 6(1)(b) GDPR.

5.6 Error logging

To detect technical errors in the booking system and customer portal, we use Sentry (Functional Software, Inc.), data region EU. Technical data about the error (browser, page, time) is transmitted, but no health data. Art. 6(1)(f) GDPR.

5.7 Push notifications

In the customer portal, and as a staff member, you can allow notifications in the browser (for example appointment reminders). Delivery runs via the push service of your browser (Google, Apple or Mozilla), which receives a technical device identifier for this purpose, but no content relating to your treatment. Legal basis: your consent (Art. 6(1)(a) GDPR, Section 25(1) TDDDG), which you can withdraw at any time in your browser settings.

5.8 Calendar synchronisation

Our doctors can synchronise their appointments with their Google Calendar. Only time, duration, location, the treating doctor and an internal appointment number are transmitted to Google (Google Ireland Limited). Your name and the booked treatment are not transmitted to Google. Legal basis: Art. 6(1)(b) and (f) GDPR.

5.9 WhatsApp

If you contact us via WhatsApp, WhatsApp (WhatsApp Ireland Limited, Meta) processes your telephone number and the messages. Please do not send us health data via WhatsApp; the customer portal is available for this purpose. Legal basis: Art. 6(1)(b) and (f) GDPR.

5.10 Instagram feed and Google reviews via our own servers

Instagram: we display posts from our Instagram account directly from our own servers (Supabase, Frankfurt am Main data centre, see 5.4). For this purpose, we retrieve our own posts via the official interface of Meta (Instagram API) at least every 30 minutes and store the image address, caption, link and date on our systems. Our server delivers the images. When you visit the website, no connection is established to Meta; only your IP address is processed by our hosting provider, to the extent necessary for delivery. Legal basis: Art. 6(1)(f) GDPR (display of our own Instagram presence).

Google reviews: we retrieve the public Google reviews of our locations via Google's official interface (Google Business Profile API), at most every six hours, and store them on our systems. We store and display the reviewer's display name and Google profile picture, the star rating, the text of the review, the date and the location, together with the overall rating and the number of reviews. Profile pictures are delivered by our own servers: only the address of the picture at Google is stored on our systems, our server loads the picture from Google, and the website loads it from our server. Visiting the website does not establish a connection to Google. Legal basis: Art. 6(1)(f) GDPR (display of public reviews of our company). If someone deletes a review on Google, it disappears from our site with the next retrieval at the latest.

5.11 International data transfers

For transfers to third countries, we ensure appropriate safeguards (adequacy decision, EU-U.S. Data Privacy Framework or standard contractual clauses pursuant to Art. 46(2)(c) GDPR).

6. Retention period

7. Cookies and similar technologies

The website myhalolabs.com sets no cookies. If you choose a language in the language menu, the website stores this choice in your browser's local storage (entry "halo-lang", only the language code, for example "fr"), so the website opens in that language on your next visit. The entry never leaves your browser and stays until you delete it or choose another language. Legal basis: Section 25(2) no. 2 TDDDG (a function you explicitly requested). The website stores no other data in your browser.

The booking system and customer portal store technically necessary sign-in and session data in the browser. Legal basis: Section 25(2) no. 2 TDDDG.

You can change your choice at any time via "Privacy settings" in the footer or delete the stored data in your browser settings.

8. Hosting and technical infrastructure

8.1 Platform

The booking system and customer portal run on Supabase (Supabase, Inc.) in Frankfurt am Main (eu-central-1). A data processing agreement (Art. 28 GDPR) is in place.

8.2 Website

The website and the interfaces of the booking system and customer portal are delivered via Cloudflare Pages (Cloudflare, Inc., USA, data transfer on the basis of the EU-U.S. Data Privacy Framework). Cloudflare processes the technically necessary connection data (section 3.3) in order to deliver the pages and protect them against attacks. Legal basis: Art. 6(1)(f) GDPR.

8.3 Fonts

All fonts are loaded from our own servers. No

connection to Google Fonts is established.

9. Data security and medical confidentiality

All physicians and staff members are bound by medical confidentiality (Section 203 German Criminal Code (StGB)). Service providers who could have access to health data are contractually bound to confidentiality.

We implement technical and organisational measures pursuant to Art. 32 GDPR, including:

• encryption of data in transit (TLS)
• access controls and role-based permissions
• two-factor authentication for all staff members
• regular security reviews and updates
• data protection training for staff members
• storage of health data with restricted access

10. Your rights under the GDPR

To exercise your rights, please contact us using the details in section 1.

• Access (Art. 15 GDPR)
• Rectification (Art. 16 GDPR)
• Erasure (Art. 17 GDPR)
• Restriction of processing (Art. 18 GDPR)
• Data portability (Art. 20 GDPR)
• Objection (Art. 21 GDPR)
• Withdrawal of consent (Art. 7(3) GDPR)
• Complaint to a supervisory authority (Art. 77 GDPR): Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach

10.1 Right to object

You have the right to object at any time, on grounds relating to your particular situation, to processing that we base on our legitimate interest (Art. 6(1)(f) GDPR). We will then no longer process the data unless we can demonstrate compelling legitimate grounds for the processing. You may object to the use of your data for direct marketing at any time without giving reasons.

11. Minors

Our services are intended for persons aged 18 and over. We do not knowingly collect personal data from minors under the age of 16 without parental consent.

12. Automated decision-making

We do not use automated decision-making, including profiling, within the meaning of Art. 22 GDPR.

13. Changes to this privacy policy

We will update this privacy policy when our processing changes. The current version is always available on our website.

14. Contact

Halo Labs GmbH

Jahnstr. 25, 80469 München, Deutschland

Email: [email protected]

Phone: +49 159 0200 7800