Datenschutzerklärung

1. Verantwortlicher

Nikolas Margraf, Steinheilstr. 13, 80333 München, Deutschland
E-Mail: hello@trustyourroots.com

2. Welche Daten wir verarbeiten

Wenn Sie sich für unsere Warteliste eintragen oder ein Konto erstellen, verarbeiten wir:

• Vor- und gegebenenfalls Nachname
• E-Mail-Adresse
• Einwilligung in den E-Mail-Versand (verpflichtend)
• Optionale Einwilligung in Interview-Anfragen
• Ihr Haarprofil aus dem Haar-Quiz (z. B. Haarstruktur, Haardichte, Porosität, Kopfhautzustand, Haarzustand einschließlich früherer Behandlungen, Ihr wichtigstes Haarziel sowie optionale Angaben zu Wasserhärte und Klima Ihres Wohnorts)
• Von Ihnen gespeicherte Produkte sowie von Ihnen verfasste Produktbewertungen; Bewertungen sind zusammen mit Ihrem Anzeigenamen und Ihren Haartyp-Merkmalen für andere Nutzer sichtbar
• Ihre Pflegeroutinen (gewähltes Haarziel, ausgewählte Produkte, Waschtage, Dauer) sowie Ihre Selbsteinschätzungen dazu im Zeitverlauf (z. B. eine Ausgangsbewertung zu Beginn und Rückmeldungen während der Routine, etwa ob sich Ihr Haarziel verbessert hat oder ein Produkt nicht vertragen wurde)
• Datum und Uhrzeit der Anmeldung
• Herkunft des Besuchs (UTM-Parameter aus der URL, Referrer-URL, soweit vorhanden)
• Ungefähres Herkunftsland (aus dem IP-basierten Standortsignal unseres Hosting-Anbieters Vercel abgeleitet; nur der Ländercode, z. B. „DE" oder „US", wird gespeichert – keine IP-Adresse)
• Nutzungsereignisse innerhalb unseres Angebots (z. B. Abschluss des Haar-Quiz, durchgeführte Produkt-Scans, Klicks auf Produkt- und Empfehlungslinks); bei angemeldeten Nutzern mit dem Konto verknüpft, ansonsten ohne Personenbezug gespeichert
• Zustell-, Öffnungs- und Klickereignisse der von uns versandten E-Mails (über unseren E-Mail-Dienstleister)
• Technisch erforderliche Server-Logs (z. B. IP-Adresse, User-Agent) durch unseren Hosting-Anbieter

3. Zwecke und Rechtsgrundlage

• Warteliste & Versand von Informationen zum Early Access – Rechtsgrundlage: Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Sie können die Einwilligung jederzeit über den Abmeldelink in jeder E-Mail oder per E-Mail an uns widerrufen.
• Optionale Interviews zur Produktentwicklung – Rechtsgrundlage: Ihre gesonderte Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.
• Personalisierte Produktempfehlungen und Pflegeroutinen – Wir werten Ihr Haarprofil aus, um Produkte für Ihr Haar zu bewerten und Ihnen passende Routinen vorzuschlagen; Ihre Selbsteinschätzungen im Verlauf einer Routine nutzen wir, um Ihre persönlichen Empfehlungen im Zeitverlauf zu präzisieren. Ihre Angaben sind kosmetische Selbsteinschätzungen; eine medizinische Bewertung oder Diagnose findet nicht statt. Rechtsgrundlage: Vertragserfüllung nach Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des von Ihnen angeforderten Dienstes).
• Community-Funktionen – Von Ihnen verfasste Produktbewertungen zeigen wir anderen Nutzern zusammen mit Ihrem Anzeigenamen und Ihren Haartyp-Merkmalen an, damit Nutzer mit ähnlichem Haar Erfahrungen einordnen können. Rechtsgrundlage: Vertragserfüllung nach Art. 6 Abs. 1 lit. b DSGVO; das Verfassen von Bewertungen ist freiwillig.
• Sicherheit, Stabilität und Betrugsschutz (Server-Logs) – Rechtsgrundlage: berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO.
• Lokalisierung und Planung regionaler Angebote (Ländercode bei Anmeldung) – Rechtsgrundlage: berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO (Anpassung von Affiliate-Programmen und Diensten an den jeweiligen Markt).
• Reichweiten- und Erfolgsmessung ohne Cookies (serverseitig erfasste Nutzungsereignisse, cookielose Web-Analyse mittels PostHog [EU-Cloud], E-Mail-Kennzahlen) – Rechtsgrundlage: berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO (Verständnis und Verbesserung unseres Angebots); die Messung von E-Mail-Zustellung, -Öffnungen und -Klicks erfolgt im Rahmen Ihrer Einwilligung in den E-Mail-Versand.

4. Empfänger und Auftragsverarbeiter

Wir setzen folgende Dienstleister als Auftragsverarbeiter ein:

• Supabase (Datenbank, Speicherort Frankfurt/EU). Auftragsverarbeitungsvertrag liegt vor.
• Resend (Versand der E-Mails, Sitz in den USA). Übermittlung erfolgt auf Grundlage der Standardvertragsklauseln der EU-Kommission und – sofern anwendbar – des EU-US Data Privacy Framework.
• Vercel (Hosting der Website, Sitz in den USA, EU-Edge-Regionen verfügbar). Übermittlung erfolgt auf Grundlage der Standardvertragsklauseln.
• PostHog (Web-Analyse; EU-Cloud mit Datenverarbeitung in Frankfurt/EU; Anbieter: PostHog Inc., USA). Die Analyse erfolgt ohne Cookies und ohne auf Ihrem Gerät gespeicherte Kennungen; IP-Adressen werden nicht dauerhaft gespeichert. Auftragsverarbeitungsvertrag liegt vor.

5. Speicherdauer

Ihre Daten werden gespeichert, bis Sie sich von der Warteliste abmelden oder bis zwölf Monate nach dem öffentlichen Launch von roots vergehen, je nachdem, was zuerst eintritt. Anschließend werden sie gelöscht oder anonymisiert. Der Ländercode wird zusammen mit dem jeweiligen Datensatz gelöscht. Server-Logs werden in der Regel nach 30 Tagen gelöscht. Haarprofil, gespeicherte Produkte, Routinen und Ihre Selbsteinschätzungen speichern wir, solange Ihr Konto besteht; bei Löschung Ihres Kontos werden sie gelöscht. Verfasste Produktbewertungen werden bei Kontolöschung anonymisiert (Ihr Name und die Verknüpfung zu Ihrem Konto werden dauerhaft entfernt); gespeicherte Nutzungsereignisse werden ebenfalls anonymisiert.

6. Ihre Rechte

Sie haben das Recht:

• auf Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO),
• auf Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• auf Löschung (Art. 17 DSGVO),
• auf Einschränkung der Verarbeitung (Art. 18 DSGVO),
• auf Datenübertragbarkeit (Art. 20 DSGVO),
• auf Widerspruch (Art. 21 DSGVO),
• Ihre Einwilligung jederzeit zu widerrufen (Art. 7 Abs. 3 DSGVO) – ohne dass die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung berührt wird.

Zur Ausübung Ihrer Rechte genügt eine formlose E-Mail an hello@trustyourroots.com.

7. Beschwerderecht

Sie können sich bei einer Aufsichtsbehörde beschweren, etwa beim für unseren Sitz zuständigen Bayerischen Landesamt für Datenschutzaufsicht (BayLDA).

8. Cookies und Tracking

Wir setzen keine Tracking-Cookies ein. Nutzungsereignisse (z. B. Klicks auf Produkt-Links) erfassen wir serverseitig in unserer eigenen Datenbank – ohne Cookies und ohne Geräte-Kennungen. Zur Reichweitenmessung nutzen wir zusätzlich PostHog (EU-Cloud, Serverstandort Frankfurt) in einem cookielosen Modus: Es werden keine Cookies gesetzt und keine Kennungen auf Ihrem Gerät gespeichert; Besucher ohne Konto können über mehrere Besuche hinweg nicht wiedererkannt werden. Bei angemeldeten Nutzern wird die Nutzung pseudonym der Konto-Kennung zugeordnet. UTM-Parameter werden ausschließlich aus der URL ausgelesen, an die Sie verlinkt wurden, und dienen nur dazu, die Wirksamkeit unserer eigenen Inhalte zu verstehen.

9. Änderungen

Wir können diese Datenschutzerklärung anpassen, wenn sich die zugrunde liegende Datenverarbeitung ändert. Die jeweils aktuelle Version finden Sie auf dieser Seite.

1. Controller

Nikolas Margraf, Steinheilstr. 13, 80333 Munich, Germany
Email: hello@trustyourroots.com

2. Data we process

When you join our waitlist or create an account, we process:

• First name (and last name, if provided)
• Email address
• Consent to receive emails (required)
• Optional consent to be contacted for interviews
• Your hair profile from the hair quiz (e.g. hair texture, density, porosity, scalp condition, hair condition including past treatments, your primary hair goal, and optional details on water hardness and climate where you live)
• Products you save and product reviews you write; reviews are visible to other users together with your display name and your hair-type traits
• Your care routines (chosen hair goal, selected products, wash days, duration) and your self-assessments over time (e.g. a baseline rating at the start and feedback during the routine, such as whether your hair goal improved or a product did not agree with you)
• Date and time of signup
• Traffic source (UTM parameters from the URL and referrer, where present)
• Approximate country of origin (derived from the IP-based location signal provided by our hosting infrastructure; only the two-letter country code, e.g. "DE" or "US", is stored — not the raw IP address)
• Usage events within our service (e.g. completing the hair quiz, running a product scan, clicking product and recommendation links); linked to your account when you are signed in, otherwise stored without reference to a person
• Delivery, open and click events for the emails we send (via our email service provider)
• Technical server logs (e.g. IP address, user agent) collected by our hosting provider

3. Purposes and legal basis

• Waitlist & early-access communication — legal basis: your consent (Art. 6 (1) (a) GDPR). You can withdraw consent any time via the unsubscribe link in any email or by emailing us.
• Optional product-development interviews — legal basis: your separate consent (Art. 6 (1) (a) GDPR).
• Personalised product recommendations and care routines — we analyse your hair profile to score products for your hair and to recommend routines to you; your self-assessments during a routine are used to refine your personal recommendations over time. Your inputs are cosmetic self-assessments; no medical evaluation or diagnosis takes place. Legal basis: performance of contract (Art. 6 (1) (b) GDPR) — providing the service you requested.
• Community features — product reviews you write are shown to other users together with your display name and your hair-type traits, so users with similar hair can put experiences into context. Legal basis: performance of contract (Art. 6 (1) (b) GDPR); writing reviews is voluntary.
• Security, stability and abuse prevention (server logs) — legal basis: legitimate interest (Art. 6 (1) (f) GDPR).
• Localisation and regional planning (country code at signup) — legal basis: legitimate interest (Art. 6 (1) (f) GDPR) — to tailor affiliate programmes and product availability to the user's market.
• Cookieless reach and performance measurement (server-side usage events, cookieless web analytics via PostHog [EU Cloud], email metrics) — legal basis: legitimate interest (Art. 6 (1) (f) GDPR) — to understand and improve our service; email delivery, open and click measurement takes place within the scope of your consent to receive our emails.

4. Recipients and processors

We use the following data processors:

• Supabase — database, stored in Frankfurt/EU. Data processing agreement in place.
• Resend — email delivery, based in the USA. Transfer based on EU Standard Contractual Clauses and, where applicable, the EU-US Data Privacy Framework.
• Vercel — hosting, based in the USA with EU edge regions. Transfer based on Standard Contractual Clauses.
• PostHog — web analytics; EU Cloud with data processing in Frankfurt/EU; provider: PostHog Inc., USA. Analytics runs without cookies and without identifiers stored on your device; IP addresses are not permanently stored. Data processing agreement in place.

5. Retention

Your data is stored until you unsubscribe from the waitlist or twelve months after roots launches publicly, whichever comes first. Afterwards it is deleted or anonymised. The country code is deleted together with the associated record. Server logs are typically deleted after 30 days. Your hair profile, saved products, routines and self-assessments are stored for as long as your account exists and are deleted when you delete your account. Product reviews are anonymised on account deletion (your name and the link to your account are permanently removed); stored usage events are anonymised as well.

6. Your rights

You have the right to:

• access (Art. 15 GDPR),
• rectification (Art. 16 GDPR),
• erasure (Art. 17 GDPR),
• restriction of processing (Art. 18 GDPR),
• data portability (Art. 20 GDPR),
• object (Art. 21 GDPR),
• withdraw your consent at any time (Art. 7 (3) GDPR) — without affecting the lawfulness of processing carried out before withdrawal.

To exercise your rights, email hello@trustyourroots.com.

7. Right to lodge a complaint

You may lodge a complaint with a supervisory authority, for example the Bavarian State Office for Data Protection (BayLDA), which has jurisdiction over our registered address.

8. Cookies and tracking

We do not set tracking cookies. Usage events (e.g. clicks on product links) are recorded server-side in our own database — without cookies and without device identifiers. For reach measurement we additionally use PostHog (EU Cloud, servers in Frankfurt) in a cookieless mode: no cookies are set and no identifiers are stored on your device; visitors without an account cannot be recognised across separate visits. For signed-in users, usage is attributed pseudonymously to the account identifier. UTM parameters are read only from the URL you arrived through, used solely to understand the effectiveness of our own content.

9. Changes

We may update this policy if the underlying data processing changes. The current version is always available on this page.