Datenschutzerklärung

1. Verantwortliche

Romina Margraf
c/o Noah's Ark
Truderinger Straße 86c
81673 München
Deutschland
E-Mail: hello@trustyourroots.com

Einen Datenschutzbeauftragten haben wir nicht benannt, da wir hierzu gesetzlich nicht verpflichtet sind.

2. Welche Daten wir verarbeiten

• Warteliste: Vorname (ggf. Nachname), E-Mail-Adresse, Ihre Einwilligung in den E-Mail-Versand, optional Ihre Einwilligung in Interview-Anfragen, Zeitpunkt der Anmeldung, Herkunft des Besuchs (UTM-Parameter, Referrer) und Ländercode.
• Konto: E-Mail-Adresse, Anzeigename und Passwort (nur als kryptografischer Hash gespeichert). Bei Anmeldung mit Google erhalten wir von Google Ihren Namen und Ihre E-Mail-Adresse. Außerdem speichern wir einmalig, woher Sie zu Roots gekommen sind: die verweisende Website (nur der Domainname, z. B. „instagram.com“), Kampagnen-Kennzeichen im aufgerufenen Link (UTM-Parameter) und die Seite, auf der Ihr Besuch begann.
• Haarprofil aus dem Haar-Quiz: Locken- bzw. Wellenmuster, Haarstruktur, Haardichte, Porosität, Haarzustand einschließlich früherer Behandlungen, Kopfhauttyp, Ihr wichtigstes Haarziel sowie optional Wasserhärte und Klima Ihres Wohnorts.
• Gesundheitsbezogene Angaben (besondere Kategorie, Art. 9 DSGVO): Angaben zu Kopfhautbeschwerden (z. B. Schuppen oder anhaltender Juckreiz), zur Empfindlichkeit Ihrer Kopfhaut (z. B. Brennen oder Reaktionen) sowie Rückmeldungen, dass Sie ein Produkt nicht vertragen haben. Diese Angaben verarbeiten wir nur mit Ihrer ausdrücklichen Einwilligung (siehe Ziffer 3).
• Produktscans: Fotos von Produktetiketten oder eingefügte Inhaltsstofflisten. Die Fotos werden ausschließlich zum Auslesen der Inhaltsstoffe verarbeitet und nicht gespeichert; gespeichert werden die erkannte Inhaltsstoffliste, der Produktname und das Ergebnis in Ihrem Scan-Verlauf. Bitte fotografieren Sie nur das Produkt.
• Nutzung: gespeicherte Produkte, verfasste Produktbewertungen (für andere Nutzer nur mit dem Anfangsbuchstaben Ihres Anzeigenamens und Haartyp-Merkmalen sichtbar), Pflegeroutinen und Ihre Selbsteinschätzungen im Verlauf, Einstellungen.
• Nutzungsereignisse: z. B. Abschluss des Quiz, durchgeführte Scans, Klicks auf Produktlinks, Suchen in der Produktliste (Anzahl der Treffer), die Tage, an denen Sie Roots angemeldet öffnen; bei angemeldeten Nutzern mit dem Konto verknüpft, sonst ohne Personenbezug. Findet eine Suche nichts, speichern wir auch den Suchbegriff (höchstens 40 Zeichen), damit wir fehlende Produkte ergänzen können; Begriffe mit „@“ oder längeren Ziffernfolgen speichern wir nicht.
• Feedback: Nachrichten, die Sie uns über die Feedback-Funktion senden, deren Art (Idee, Problem, Sonstiges) und die Seite, von der aus Sie sie gesendet haben. Feedback, das Sie uns auf anderem Weg geben (zum Beispiel per E-Mail, Nachricht oder im Gespräch), halten wir am selben Ort fest: mit Ihrem Konto verknüpft, wenn Sie eines haben, sonst ohne Namen und Kontaktdaten. Nur das Roots-Team liest es.
• Interviews: Wenn Sie an einem Gespräch zur Produktentwicklung teilnehmen: Termin, Ihre Antworten als Notizen (mit Ihrer Konto-Kennung, ohne Namen) und, nur mit Ihrer Zustimmung, eine Aufzeichnung des Gesprächs.
• E-Mail-Kennzahlen: Zustellung, Öffnung und Klicks der von uns versandten E-Mails. Bei E-Mails an Ihr Konto halten wir pro E-Mail fest, welche Inhalte sie enthielt, ob sie zugestellt wurde, welchen Link Sie angeklickt haben und ob Sie sich darüber abgemeldet haben, verknüpft mit Ihrer Konto-Kennung (nie mit Ihrer E-Mail-Adresse in den Auswertungen). So sehen wir, welche Inhalte hilfreich sind, und schreiben Adressen, die nicht zustellbar sind, nicht erneut an.
• Technische Daten: Server-Logs unseres Hosting-Anbieters (z. B. IP-Adresse, Browsertyp, Zeitpunkt) sowie der aus der IP-Adresse abgeleitete Ländercode (z. B. „DE“); die IP-Adresse selbst speichern wir nicht. Tritt ein technischer Fehler auf, erfassen wir einen Fehlerbericht (Fehlermeldung, technischer Ablauf, betroffene Seite, Browsertyp) – ohne Ihre Eingaben in Formularen.

3. Zwecke und Rechtsgrundlagen

• Bereitstellung von Roots (Konto, Haarprofil, personalisierte Produktbewertungen, Scans, Routinen, gespeicherte Produkte) – Vertragserfüllung, Art. 6 Abs. 1 lit. b DSGVO.
• Gesundheitsbezogene Angaben – Ihre ausdrückliche Einwilligung, Art. 9 Abs. 2 lit. a i. V. m. Art. 6 Abs. 1 lit. a DSGVO, die Sie zu Beginn des Haar-Quiz erteilen. Wir nutzen diese Angaben ausschließlich, um Produkte für Ihre Kopfhaut zu bewerten und Ihre Empfehlungen zu verfeinern. Es handelt sich um kosmetische Selbsteinschätzungen; eine medizinische Bewertung oder Diagnose findet nicht statt. Sie können die Einwilligung jederzeit widerrufen (E-Mail an uns oder Löschung Ihres Kontos); ohne diese Angaben können wir Produkte nicht auf Ihre Kopfhaut abstimmen.
• Produktbewertungen anderer Nutzer anzeigen (Community) – Vertragserfüllung, Art. 6 Abs. 1 lit. b DSGVO; das Verfassen von Bewertungen ist freiwillig.
• Warteliste und E-Mails zum Start von Roots; Hinweise und Tipps per E-Mail – Ihre Einwilligung, Art. 6 Abs. 1 lit. a DSGVO. Widerruf jederzeit über den Abmeldelink in jeder E-Mail, in den Einstellungen oder per E-Mail. Transaktionale E-Mails (z. B. Bestätigung der Registrierung, Passwort zurücksetzen) versenden wir zur Vertragserfüllung.
• Interviews zur Produktentwicklung – Wer sich auf der Warteliste dafür entschieden hat, erhält Interview-Anfragen auf Grundlage seiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Nutzer mit Konto laden wir gelegentlich persönlich per E-Mail zu einem Gespräch ein und wählen sie anhand ihrer Nutzung von Roots aus; Grundlage ist unser berechtigtes Interesse an der Verbesserung unseres Angebots (Art. 6 Abs. 1 lit. f DSGVO). Sie können solchen Einladungen jederzeit widersprechen. Die Teilnahme ist freiwillig; Gespräch, Notizen und eine etwaige Aufzeichnung beruhen auf Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die wir zu Beginn des Gesprächs einholen. Erzählen Sie dabei von sich aus von Beschwerden Ihrer Kopfhaut, verarbeiten wir diese Angaben nur mit Ihrer ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO).
• Cookielose Reichweitenmessung, Nutzungsereignisse, E-Mail-Kennzahlen, Herkunft neuer Konten – berechtigtes Interesse an der Verbesserung unseres Angebots, Art. 6 Abs. 1 lit. f DSGVO.
• Sicherheit, Stabilität, Missbrauchsabwehr (Server-Logs, Fehlerberichte zur Behebung technischer Fehler) – berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO.
• Bearbeitung Ihres Feedbacks und ggf. Rückfragen per E-Mail – berechtigtes Interesse an der Verbesserung unseres Angebots, Art. 6 Abs. 1 lit. f DSGVO; das Senden von Feedback ist freiwillig.
• Regionale Produktlinks (Ländercode, um Sie zum passenden Amazon-Marktplatz weiterzuleiten) – berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO.

Profiling: Die Bewertung von Produkten anhand Ihres Haarprofils ist eine automatisierte Auswertung. Sie dient allein der Sortierung von Produktempfehlungen und der Auswahl der Inhalte unserer E-Mails, sofern Sie diese abonniert haben, und entfaltet Ihnen gegenüber keine rechtliche oder ähnlich erhebliche Wirkung (keine automatisierte Entscheidung im Sinne von Art. 22 DSGVO).

4. Empfänger und Auftragsverarbeiter

Wir setzen folgende Dienstleister ein. Mit allen Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO.

• Supabase (Datenbank und Anmeldung; Speicherort Frankfurt, EU).
• Vercel Inc. (Hosting; USA, mit EU-Serverstandorten).
• Resend (E-Mail-Versand; USA).
• Google Workspace (Google Ireland Limited, Irland): E-Mail-Postfächer für unsere Korrespondenz mit Ihnen, etwa wenn Sie uns schreiben oder auf eine unserer E-Mails antworten, sowie Videogespräche (Google Meet), Terminbuchung und Notizen zu Interviews.
• Anthropic PBC (KI-Dienst Claude; USA): Auslesen von Produktfotos beim Scan, Bewertung neuer Inhaltsstoffe, Formulierung der Erklärung, warum ein Produkt zu Ihrem Haar passt, sowie Formulierung des Textes „Was Ihr Haar braucht“ in Ihrem Profil. Hierfür werden das Foto bzw. die Inhaltsstoffliste und die für die Bewertung relevanten Merkmale Ihres Haarprofils (einschließlich gesundheitsbezogener Angaben, sofern Sie eingewilligt haben) übermittelt – ohne Namen oder E-Mail-Adresse. Anthropic verwendet diese Daten nicht zum Training seiner Modelle.
• PostHog (cookielose Web-Analyse und Fehleranalyse; EU-Cloud, Frankfurt; Anbieter PostHog Inc., USA).

Eigenständig Verantwortliche: Bei der Anmeldung mit Google verarbeitet die Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland) Ihre Daten in eigener Verantwortung (Datenschutzerklärung von Google). Wenn Sie einen Produktlink anklicken, leiten wir Sie zu Amazon weiter; ab dann gilt die Datenschutzerklärung von Amazon (Amazon Europe Core S.à r.l., Luxemburg). Roots ist Teilnehmer des Amazon-Partnerprogramms; Amazon kann dabei erkennen, dass Sie über Roots gekommen sind.

Drittlandübermittlung: Soweit Daten in die USA übermittelt werden, erfolgt dies auf Grundlage eines Angemessenheitsbeschlusses der EU-Kommission (EU-US Data Privacy Framework), sofern der Empfänger zertifiziert ist, und im Übrigen auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

5. Speicherdauer

Kontodaten, Haarprofil, Scans, gespeicherte Produkte, Routinen, Selbsteinschätzungen und Ihr Feedback speichern wir, solange Ihr Konto besteht; mit der Löschung Ihres Kontos (jederzeit in den Einstellungen möglich) werden sie gelöscht. Ihre Produktbewertungen bleiben danach anonymisiert erhalten (ohne Namen und ohne Verknüpfung zu Ihrem Konto); Nutzungsereignisse werden ebenfalls anonymisiert. Wartelisten-Daten speichern wir, bis Sie sich abmelden, längstens jedoch zwölf Monate nach dem öffentlichen Start von Roots. Server-Logs werden in der Regel nach 30 Tagen gelöscht. Aufzeichnungen von Interviews löschen wir spätestens 30 Tage nach dem Gespräch. Notizen zu Interviews speichern wir, solange Ihr Konto besteht; Zitate daraus verwenden wir nur ohne Namen. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

6. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20 DSGVO). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Eine formlose E-Mail an hello@trustyourroots.com genügt.

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, können Sie dieser Verarbeitung aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen.

7. Beschwerderecht

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren, etwa beim für uns zuständigen Bayerischen Landesamt für Datenschutzaufsicht (BayLDA).

8. Cookies, lokaler Speicher und Analyse

Wir setzen keine Tracking- oder Werbe-Cookies ein. Wir speichern auf Ihrem Gerät nur, was für den von Ihnen gewünschten Dienst technisch erforderlich ist (§ 25 Abs. 2 Nr. 2 TDDDG): Anmelde-Cookies, einen vorübergehenden Zwischenspeicher Ihrer Quiz-Antworten bis zur Registrierung (höchstens eine Stunde), einen Zwischenspeicher Ihrer Produktbewertungen für schnellere Ladezeiten sowie Angaben dazu, welche Hinweise Sie bereits gesehen haben (zum Beispiel Tipps beim ersten Besuch und unsere Bitte um Feedback), damit wir sie nicht wiederholen. Für die Reichweitenmessung nutzen wir PostHog in einem cookielosen Modus: Es werden keine Cookies gesetzt und keine Kennungen auf Ihrem Gerät gespeichert; Besucher ohne Konto werden über mehrere Besuche hinweg nicht wiedererkannt. Ab der Registrierung wird die Nutzung pseudonym der Konto-Kennung zugeordnet (nie Name oder E-Mail-Adresse); das schließt den Besuch ein, in dem Sie sich registrieren.

9. Mindestalter

Roots richtet sich an Personen ab 16 Jahren. Wer jünger ist, darf kein Konto anlegen.

10. Pflicht zur Bereitstellung

Für ein Konto benötigen wir Ihre E-Mail-Adresse und ein Passwort bzw. die Google-Anmeldung. Ohne Haarprofil können wir keine persönlichen Produktbewertungen erstellen. Alle weiteren Angaben sind freiwillig.

11. Änderungen

Wir passen diese Erklärung an, wenn sich unsere Datenverarbeitung ändert. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.

1. Controller

Romina Margraf
c/o Noah's Ark
Truderinger Straße 86c
81673 München
Germany
Email: hello@trustyourroots.com

We have not appointed a data protection officer, as we are not legally required to.

2. Data we process

• Waitlist: first name (and last name, if given), email address, your consent to receive emails, optional consent to interview requests, signup time, traffic source (UTM parameters, referrer) and country code.
• Account: email address, display name and password (stored only as a cryptographic hash). If you sign in with Google, we receive your name and email address from Google. We also record once where you came to Roots from: the referring website (domain name only, e.g. "instagram.com"), campaign tags in the link you opened (UTM parameters) and the page your visit started on.
• Hair profile from the hair quiz: curl/wave pattern, texture, density, porosity, hair condition including past treatments, scalp type, your primary hair goal, and optionally water hardness and climate where you live.
• Health-related data (special category, Art. 9 GDPR): scalp complaints (e.g. flaking or persistent itching), scalp sensitivity (e.g. burning or reactions), and feedback that a product did not agree with you. We process this only with your explicit consent (see section 3).
• Product scans: photos of product labels or pasted ingredient lists. Photos are processed solely to read the ingredients and are not stored; we store the recognised ingredient list, product name and result in your scan history. Please photograph only the product.
• Usage: saved products, product reviews you write (visible to other users with only the first letter of your display name and your hair-type traits), care routines and your self-assessments over time, settings.
• Usage events: e.g. completing the quiz, running scans, clicking product links, searches in the product list (number of results), the days on which you open Roots while signed in; linked to your account when signed in, otherwise not linked to a person. If a search finds nothing, we also store the search term (at most 40 characters) so we can add missing products; terms containing "@" or longer runs of digits are not stored.
• Feedback: messages you send us through the feedback feature, their type (idea, problem, other) and the page you sent them from. Feedback you give us another way (for example by email, message or in conversation) is filed in the same place: linked to your account if you have one, otherwise without your name or contact details. Only the Roots team reads it.
• Interviews: if you take part in a product-development conversation: the appointment, your answers as notes (with your account identifier, without your name) and, only with your agreement, a recording of the conversation.
• Email metrics: delivery, opens and clicks of the emails we send. For emails to your account we record, per email, what it contained, whether it was delivered, which link you clicked and whether you unsubscribed through it, linked to your account id (never to your email address in our reports). This shows us which content is useful, and keeps us from writing to addresses that cannot receive mail.
• Technical data: our hosting provider's server logs (e.g. IP address, browser type, time) and the country code derived from the IP address (e.g. "DE"); we do not store the IP address itself. If a technical error occurs, we record an error report (error message, technical trace, affected page, browser type), without anything you typed into forms.

3. Purposes and legal bases

• Providing Roots (account, hair profile, personalised product scores, scans, routines, saved products): performance of contract, Art. 6 (1) (b) GDPR.
• Health-related data: your explicit consent, Art. 9 (2) (a) in conjunction with Art. 6 (1) (a) GDPR, given at the start of the hair quiz. We use this data solely to score products for your scalp and refine your recommendations. These are cosmetic self-assessments; no medical evaluation or diagnosis takes place. You can withdraw consent at any time (email us or delete your account); without this data we cannot tailor products to your scalp.
• Showing other users' product reviews (community): performance of contract, Art. 6 (1) (b) GDPR; writing reviews is voluntary.
• Waitlist and launch emails; tips by email: your consent, Art. 6 (1) (a) GDPR. Withdraw any time via the unsubscribe link in every email, in settings, or by email. Transactional emails (e.g. signup confirmation, password reset) are sent to perform the contract.
• Product-development interviews: if you opted in on the waitlist, you receive interview requests based on your consent (Art. 6 (1) (a) GDPR). We occasionally invite users with an account to a conversation by personal email, selected by how they use Roots; the basis is our legitimate interest in improving our service (Art. 6 (1) (f) GDPR). You can object to such invitations at any time. Taking part is voluntary; the conversation, notes and any recording are based on your consent (Art. 6 (1) (a) GDPR), which we ask for at the start of the conversation. If you choose to tell us about scalp complaints, we process this only with your explicit consent (Art. 9 (2) (a) GDPR).
• Cookieless reach measurement, usage events, email metrics, where new accounts come from: our legitimate interest in improving our service, Art. 6 (1) (f) GDPR.
• Security, stability, abuse prevention (server logs, error reports to fix technical faults): legitimate interest, Art. 6 (1) (f) GDPR.
• Handling your feedback and, where needed, follow-up questions by email: our legitimate interest in improving our service, Art. 6 (1) (f) GDPR; sending feedback is voluntary.
• Regional product links (country code, to send you to the right Amazon marketplace): legitimate interest, Art. 6 (1) (f) GDPR.

Profiling: scoring products against your hair profile is an automated evaluation. It only sorts product recommendations and, if you subscribed to our emails, selects what they contain. It has no legal or similarly significant effect on you (no automated decision within the meaning of Art. 22 GDPR).

4. Recipients and processors

We use the following service providers. Data processing agreements under Art. 28 GDPR are in place with all processors.

• Supabase (database and sign-in; stored in Frankfurt, EU).
• Vercel Inc. (hosting; USA, with EU server locations).
• Resend (email delivery; USA).
• Google Workspace (Google Ireland Limited, Ireland): mailboxes for our correspondence with you, for example when you write to us or reply to one of our emails, as well as video calls (Google Meet), appointment booking and notes for interviews.
• Anthropic PBC (AI service Claude; USA): reading product photos when you scan, scoring new ingredients, writing the explanation of why a product suits your hair, and writing the “What your hair needs” text in your profile. For this, the photo or ingredient list and the hair-profile traits relevant to the score (including health-related data, if you consented) are transmitted, without your name or email address. Anthropic does not use this data to train its models.
• PostHog (cookieless web analytics and error analysis; EU Cloud, Frankfurt; provider PostHog Inc., USA).

Independent controllers: when you sign in with Google, Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Ireland) processes your data under its own responsibility (Google Privacy Policy). When you click a product link, we forward you to Amazon; from then on Amazon's privacy notice applies (Amazon Europe Core S.à r.l., Luxembourg). Roots participates in the Amazon Associates programme; Amazon can see that you came from Roots.

Transfers to third countries: where data is transferred to the USA, this is based on the European Commission's adequacy decision (EU-US Data Privacy Framework) where the recipient is certified, and otherwise on the EU Standard Contractual Clauses (Art. 46 (2) (c) GDPR).

5. Retention

We keep account data, hair profile, scans, saved products, routines, self-assessments and your feedback for as long as your account exists; they are deleted when you delete your account (possible any time in settings). Your product reviews are then kept in anonymised form (without your name and without a link to your account); usage events are anonymised as well. Waitlist data is kept until you unsubscribe, and at most twelve months after Roots launches publicly. Server logs are typically deleted after 30 days. Interview recordings are deleted at the latest 30 days after the conversation. Interview notes are kept for as long as your account exists; quotes from them are only used without your name. Statutory retention obligations remain unaffected.

6. Your rights

You have the right of access (Art. 15), rectification (Art. 16), erasure (Art. 17), restriction of processing (Art. 18) and data portability (Art. 20 GDPR). You can withdraw any consent at any time with effect for the future (Art. 7 (3) GDPR). An informal email to hello@trustyourroots.com is enough.

Right to object (Art. 21 GDPR): where we process data based on legitimate interests (Art. 6 (1) (f) GDPR), you may object to this processing at any time on grounds relating to your particular situation.

7. Right to lodge a complaint

You may lodge a complaint with a data protection supervisory authority, for example the Bavarian State Office for Data Protection Supervision (BayLDA), which is responsible for us.

8. Cookies, local storage and analytics

We use no tracking or advertising cookies. We only store on your device what is technically required for the service you requested (§ 25 (2) no. 2 TDDDG): sign-in cookies, a temporary copy of your quiz answers until you register (at most one hour), a cache of your product scores for faster loading, and which hints you have already seen (for example first-visit tips and our request for feedback), so we do not repeat them. For reach measurement we use PostHog in a cookieless mode: no cookies are set and no identifiers are stored on your device; visitors without an account are not recognised across visits. From registration on, usage is attributed pseudonymously to the account identifier (never your name or email address); this includes the visit in which you register.

9. Minimum age

Roots is intended for people aged 16 and over. Anyone younger may not create an account.

10. Obligation to provide data

To create an account we need your email address and a password, or Google sign-in. Without a hair profile we cannot create personal product scores. Everything else is voluntary.

11. Changes

We update this policy when our data processing changes. The version published on this page applies.