Datenschutzerklärung der PLANKA Software GmbH

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

PLANKA Software GmbH
Lindauer Str. 4
87439 Kempten
Deutschland
E-Mail: privacy@planka.group
Geschäftsführer: Lothar Hinz, N. Berglmeir
Handelsregister: HRB 17740, Amtsgericht Kempten

Ein Datenschutzbeauftragter ist nicht bestellt, da die Voraussetzungen gemäß § 38 BDSG nicht vorliegen.

2. Geltungsbereich

Diese Datenschutzerklärung gilt für:

• die Website des Anbieters unter planka.app (nachfolgend „Website")
• das Kundencenter unter planka.app/center, in dem Lizenzen, Rechnungsangaben und Anfragen verwaltet werden
• die Software PLANKA in der SaaS-Version (nachfolgend „Software" oder „Dienst")

Für Website, Kundencenter und Dienst gilt diese eine Erklärung. Gesonderte Datenschutzerklärungen für einzelne Bereiche gibt es nicht.

Für die On-Premise-Version verarbeitet der Anbieter keine personenbezogenen Daten der Endbenutzer, da die Software auf den Systemen des Kunden betrieben wird. In diesem Fall ist ausschließlich der Kunde für den Datenschutz verantwortlich.

Für die Datenverarbeitung im Zusammenhang mit der Kaufabwicklung durch PayPro Global Inc. gelten deren eigene Datenschutzbestimmungen. Diese sind auf der Website von PayPro Global einsehbar.

3. Datenverarbeitung bei der SaaS-Nutzung

3.1 Rollenverteilung nach DSGVO

Bei der SaaS-Nutzung besteht folgende datenschutzrechtliche Rollenverteilung:

• Verantwortlicher für die Datenverarbeitung innerhalb einer PLANKA-Instanz ist der Kunde (Instanz-Betreiber), der entscheidet, welche Daten in der Software verarbeitet werden und zu welchem Zweck.
• Auftragsverarbeiter ist die PLANKA Software GmbH, die personenbezogene Daten ausschließlich im Auftrag und auf Weisung des Kunden verarbeitet.

Die Einzelheiten der Auftragsverarbeitung sind in einem separaten Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 Abs. 3 DSGVO geregelt.

3.2 Kategorien personenbezogener Daten

Im Rahmen der SaaS-Bereitstellung verarbeiten wir folgende Kategorien personenbezogener Daten:

Kontodaten:

• Benutzername, E-Mail-Adresse
• Vor- und Nachname (sofern angegeben)
• Profilbild (sofern hochgeladen)
• Rolle und Berechtigungen innerhalb der Instanz

Technische Daten:

• IP-Adresse
• Browser-Typ und -Version
• Betriebssystem
• Zeitpunkt und Dauer des Zugriffs
• Referrer-URL

Nutzungsdaten:

• Erstellte, bearbeitete und gelöschte Inhalte (Boards, Karten, Kommentare, Anhänge)
• Aktivitätsprotokolle innerhalb der Instanz

Vom Kunden eingestellte Daten:

• Sämtliche Inhalte und Dateien, die der Kunde oder seine Endbenutzer in die Software hochladen

3.3 Zwecke und Rechtsgrundlagen

Zweck	Rechtsgrundlage	Erläuterung
Bereitstellung und Betrieb der Software	Art. 6 Abs. 1 lit. b DSGVO	Erfüllung des Nutzungsvertrags
Technische Protokollierung (Server-Logs)	Art. 6 Abs. 1 lit. f DSGVO	Berechtigtes Interesse an Systemsicherheit und Fehleranalyse
Erstellung von Backups	Art. 6 Abs. 1 lit. b, f DSGVO	Vertragserfüllung und berechtigtes Interesse an Datensicherheit
Kundensupport	Art. 6 Abs. 1 lit. b DSGVO	Vertragserfüllung
Abrechnung und Lizenzverwaltung	Art. 6 Abs. 1 lit. b DSGVO	Vertragserfüllung
Einhaltung gesetzlicher Pflichten	Art. 6 Abs. 1 lit. c DSGVO	Gesetzliche Aufbewahrungspflichten

3.4 Speicherdauer

• Kontodaten und Nutzungsdaten: Für die Dauer des aktiven Nutzungsverhältnisses. Nach Vertragsende haben Sie 30 Tage Zeit, den Export Ihrer Daten anzufordern. Danach löschen wir gestuft:
  • nach 12 Monaten das Konto selbst mit Profil, Rechnungsanschrift und den im Kundencenter geführten Anfragen;
  • bis zum Ende des dritten Jahres den verbleibenden Vertragsnachweis — welche Lizenz mit welchem Umfang wann gültig war und welcher Vertragsfassung zugestimmt wurde. Diesen bewahren wir auf, um Ansprüche aus dem Vertrag abwehren oder belegen zu können, solange sie nicht verjährt sind;
  • danach bleiben nur noch Angaben, die wir nach Handels- und Steuerrecht aufbewahren müssen. Das sind Bestellnummer, Name, Land, Produkt, Beträge, Steuer, Datum und der Verweis auf die Rechnung bei unserem Merchant of Record. Sie werden für keinen anderen Zweck mehr verwendet und sind im Kundencenter nur noch der Administration zugänglich.
• Protokoll sicherheitsrelevanter Vorgänge: Wer wann welche Änderung an einem Konto, einer Lizenz oder einer Bestellung vorgenommen hat, bewahren wir 365 Tage auf. Das ist der Nachweis darüber, was in einem Konto geschehen ist, und wird genau dann gebraucht, wenn jemand es bestreitet.
• Server-Logs: Werden nach 90 Tagen automatisch gelöscht, sofern keine Sicherheitsvorfälle eine längere Aufbewahrung erfordern.
• Backup-Daten: Werden nach 30 Tagen nach Vertragsende gelöscht.
• Gesperrte Konten: Wurde ein Konto wegen einer Rückbuchung, einer offenen Forderung oder eines Missbrauchs gesperrt, bewahren wir die zur Wiedererkennung nötige Angabe — die E-Mail-Adresse in verschlüsselter, nicht rückrechenbarer Form — sowie den Sperrgrund und das Datum auf, damit die Sperre nicht durch eine Neuanmeldung umgangen wird. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verhinderung von Missbrauch, Erwägungsgrund 47). Wir löschen diese Angabe nach drei Jahren. Sie können der Speicherung nach Art. 21 DSGVO widersprechen; wird eine Neuanmeldung abgelehnt, erhalten Sie einen Hinweis und einen Weg, die Entscheidung von einem Menschen prüfen zu lassen.
• Kostenlose Testphase: Wurde eine Testphase nicht in ein kostenpflichtiges Abonnement überführt, löschen wir das dafür angelegte Konto 90 Tage nach Ende der Testphase vollständig und ohne weitere Aufforderung. Gelöscht werden dabei auch die Testlizenz, die Rechnungsangaben und die im Kundencenter geführten Anfragen dieses Kontos. Wird während der Testphase oder danach etwas gekauft, gilt die Frist nicht und die Daten bleiben nach den vorstehenden Regeln erhalten.

4. Datenverarbeitung auf der Website

4.1 Server-Logs

Beim Besuch unserer Website erfasst unser Webserver automatisch technische Daten (IP-Adresse, Browser-Typ, aufgerufene Seiten, Zeitpunkt des Zugriffs). Diese Daten werden für die technische Bereitstellung der Website und zur Gewährleistung der Systemsicherheit benötigt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). Server-Logs werden nach 90 Tagen gelöscht.

4.2 Reichweitenmessung

Wir zählen auf unserer Website, wie oft einzelne Schritte vorkommen – etwa das Öffnen der Preisliste oder das Absenden des Testformulars. Die Zählung läuft auf unseren eigenen Servern; eine Analysesoftware und externe Dienste setzen wir dafür nicht ein, es werden keine Daten an Dritte übermittelt. Gespeichert wird je Tag und Schritt eine Summe, dazu höchstens ein kurzer Zusatzwert aus einer festen Liste (etwa der angesehene Tarif oder eine Größenklasse wie „11–50"). Eine exakte Nutzerzahl wird nicht übermittelt, sondern bereits im Browser zu einer solchen Klasse zusammengefasst. Auf Ihrem Endgerät wird nichts gespeichert und nichts ausgelesen – weder Cookies noch vergleichbare Techniken; eine Einwilligung nach § 25 TDDDG ist deshalb nicht erforderlich. IP-Adressen und Kennungen werden nicht gespeichert; ein Rückschluss auf einzelne Personen ist damit ausgeschlossen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung unseres Webangebots). Die Zählung findet ausschließlich auf der Website statt, nicht innerhalb der PLANKA-Software.

4.3 Kontaktaufnahme

Wenn Sie uns über das Ticketsystem oder per E-Mail kontaktieren, verarbeiten wir die von Ihnen mitgeteilten Daten (Name, E-Mail-Adresse, Inhalt der Anfrage) zur Bearbeitung Ihres Anliegens. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen).

4.4 Kostenlose Testphase

Wenn Sie einen 30-tägigen Test anfordern, speichern wir die im Formular angegebenen Daten – Name, Firma, Anschrift, E-Mail-Adresse, die Domain, für die die Lizenz ausgestellt wird, sowie, sofern angegeben, Telefonnummer und Umsatzsteuer-Identifikationsnummer –, um die Lizenz auszustellen und Sie zum Test zu kontaktieren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen).

Bis der Bestätigungslink in unserer E-Mail aufgerufen wird, bestehen weder ein Konto noch eine Lizenz. Eine Anfrage, die nicht innerhalb von 72 Stunden bestätigt wird, wird mit den im Formular angegebenen Daten automatisch gelöscht.

Die Testlizenz läuft 30 Tage nach ihrer Ausstellung ab. Wird bis dahin nichts gekauft, löschen wir das für den Test angelegte Konto 90 Tage nach dem Ende des Tests, zusammen mit der Testanfrage, den Rechnungsangaben und der Lizenz. PLANKA läuft während des Tests auf Ihren eigenen Systemen; die Inhalte Ihrer Installation sind für uns nicht zugänglich und von dieser Löschung nicht betroffen.

5. Cookies

Die PLANKA-Software und unsere Website verwenden ausschließlich technisch notwendige Cookies (Session-Cookies und Login-Cookies). Diese Cookies sind für den Betrieb der Software und die Aufrechterhaltung Ihrer Sitzung erforderlich. Sie enthalten keine personenbezogenen Tracking-Informationen und werden nach Ende der Sitzung bzw. nach Ablauf der Login-Gültigkeit gelöscht.

Eine Einwilligung ist für technisch notwendige Cookies gemäß § 25 Abs. 2 TDDDG nicht erforderlich.

Analyse-Cookies oder Marketing-Cookies werden nicht eingesetzt.

6. Empfänger und Datenübermittlung

6.1 Hosting-Provider (Sub-Auftragsverarbeiter)

Die SaaS-Instanzen werden derzeit auf Servern der Hetzner Online GmbH in Deutschland betrieben. Angekündigt ist, zusätzlich die netcup GmbH in Karlsruhe heranzuziehen; Hetzner bleibt für einen Teil der Infrastruktur bestehen. Für Kunden innerhalb der EU erfolgt das Hosting auf Servern innerhalb der EU. Eine aktuelle Liste der Sub-Auftragsverarbeiter ist im Auftragsverarbeitungsvertrag aufgeführt, der öffentlich einsehbar ist.

6.2 PayPro Global Inc. (Merchant of Record)

Im Rahmen der Kaufabwicklung übermittelt PayPro Global Inc. Kunden- und Zahlungsdaten an uns, soweit dies für die Bereitstellung und Verwaltung der Software-Lizenz erforderlich ist. Wir übermitteln an PayPro Global ausschließlich Daten, die zur Abrechnung oder Lizenzierung erforderlich sind (z. B. Anzahl aktiver Benutzerlizenzen). Personenbezogene Daten der Endbenutzer oder inhaltliche Nutzungsdaten werden nicht an PayPro Global übermittelt. PayPro Global ist eigenständig datenschutzrechtlich Verantwortlicher.

6.3 Keine sonstige Weitergabe

Eine darüber hinausgehende Übermittlung personenbezogener Daten an Dritte findet nicht statt, es sei denn:

• dies dient der Rechnungslegung oder steuerlichen Zwecken, oder
• ein rechtskräftiger richterlicher Beschluss ordnet die Herausgabe an.

7. Datenübermittlung in Drittländer

Für Kunden mit Sitz innerhalb der EU werden personenbezogene Daten ausschließlich auf Servern innerhalb der Europäischen Union verarbeitet. Für Kunden außerhalb der EU kann das Hosting in Rechenzentren außerhalb der EU erfolgen. In diesem Fall stellen wir durch geeignete Garantien (z. B. Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO) sicher, dass ein angemessenes Datenschutzniveau gewährleistet ist, soweit die DSGVO Anwendung findet.

8. Ihre Rechte als betroffene Person

8.1 Rechte gegenüber dem Verantwortlichen

Als Endbenutzer der SaaS-Version richten sich Ihre datenschutzrechtlichen Ansprüche primär an den Kunden (Instanz-Betreiber) als Verantwortlichen. Dies umfasst insbesondere:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruchsrecht (Art. 21 DSGVO)

8.2 Unterstützung durch den Anbieter

Wir unterstützen den Kunden (Verantwortlichen) bei der Erfüllung seiner datenschutzrechtlichen Pflichten im Rahmen des Auftragsverarbeitungsvertrags. Sie können sich auch direkt an uns wenden unter: privacy@planka.group

8.3 Widerruf der Einwilligung

Soweit die Verarbeitung auf Ihrer Einwilligung beruht, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt hiervon unberührt.

8.4 Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Die für uns zuständige Aufsichtsbehörde ist:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18
91522 Ansbach
Deutschland
Website: www.lda.bayern.de

8.5 Automatisierte Entscheidungen

Wir treffen keine automatisierten Entscheidungen, die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen, und wir betreiben kein Profiling.

Eine Ausnahme betrifft den Schutz vor Missbrauch: Wurde ein Konto wegen einer Rückbuchung, einer offenen Forderung oder eines Missbrauchs gesperrt, lehnt unser System eine erneute Testanfrage für dieselbe E-Mail-Adresse ohne weitere Prüfung ab. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verhinderung von Missbrauch, Erwägungsgrund 47). Sie erhalten in diesem Fall einen Hinweis und einen Weg, uns zu erreichen. Auf Verlangen prüft ein Mensch die Entscheidung, und Sie können Ihren Standpunkt darlegen.

9. Technische und organisatorische Maßnahmen

Wir treffen angemessene technische und organisatorische Maßnahmen zum Schutz Ihrer personenbezogenen Daten gemäß Art. 32 DSGVO, insbesondere:

• Verschlüsselte Datenübertragung (TLS/SSL)
• Server Zugang via SSH-Key
• Firewall und Fail2ban (nur notwendige Ports)
• 2FA, SQL-Injection und CSRF/XSS Schutz
• Zugriffskontrolle und Berechtigungsmanagement
• Regelmäßige Sicherheitsupdates
• Regelmäßige Backups
• Physische Sicherheit der Rechenzentren (durch den Hosting-Provider gewährleistet)

Die konkreten Maßnahmen sind im Auftragsverarbeitungsvertrag (AVV) dokumentiert.

10. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an veränderte Rechtslagen oder bei Änderungen unserer Dienste oder der Datenverarbeitung zu aktualisieren. Die aktuelle Version ist jederzeit auf unserer Website abrufbar. Bei wesentlichen Änderungen werden registrierte Kunden gesondert informiert.

---

PLANKA Software GmbH · Lindauer Str. 4 · 87439 Kempten · Deutschland