Datenschutzerklärung der PLANKA Software GmbH

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

PLANKA Software GmbH
Lindauer Str. 4
87439 Kempten
Deutschland
E-Mail: privacy@planka.group
Geschäftsführer: Lothar Hinz, N. Berglmeir
Handelsregister: HRB 17740, Amtsgericht Kempten

Ein Datenschutzbeauftragter ist nicht bestellt, da die Voraussetzungen gemäß § 38 BDSG nicht vorliegen.

2. Geltungsbereich

Diese Datenschutzerklärung gilt für:

• die Website des Anbieters unter planka.app (nachfolgend „Website")
• das Kundencenter unter planka.app/center, in dem Lizenzen, Rechnungsangaben und Anfragen verwaltet werden
• die Software PLANKA in der SaaS-Version (nachfolgend „Software" oder „Dienst")

Für Website, Kundencenter und Dienst gilt diese eine Erklärung. Gesonderte Datenschutzerklärungen für einzelne Bereiche gibt es nicht.

Für die On-Premise-Version verarbeitet der Anbieter keine personenbezogenen Daten der Endbenutzer, da die Software auf den Systemen des Kunden betrieben wird. In diesem Fall ist ausschließlich der Kunde für den Datenschutz verantwortlich.

Für die Datenverarbeitung im Zusammenhang mit der Kaufabwicklung durch PayPro Global Inc. gelten deren eigene Datenschutzbestimmungen. Diese sind auf der Website von PayPro Global einsehbar.

3. Datenverarbeitung bei der SaaS-Nutzung

3.1 Rollenverteilung nach DSGVO

Bei der SaaS-Nutzung besteht folgende datenschutzrechtliche Rollenverteilung:

• Verantwortlicher für die Datenverarbeitung innerhalb einer PLANKA-Instanz ist der Kunde (Instanz-Betreiber), der entscheidet, welche Daten in der Software verarbeitet werden und zu welchem Zweck.
• Auftragsverarbeiter ist die PLANKA Software GmbH, die personenbezogene Daten ausschließlich im Auftrag und auf Weisung des Kunden verarbeitet.

Die Einzelheiten der Auftragsverarbeitung sind in einem separaten Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 Abs. 3 DSGVO geregelt.

3.2 Kategorien personenbezogener Daten

Im Rahmen der SaaS-Bereitstellung verarbeiten wir folgende Kategorien personenbezogener Daten:

Kontodaten:

• Benutzername, E-Mail-Adresse
• Vor- und Nachname (sofern angegeben)
• Profilbild (sofern hochgeladen)
• Rolle und Berechtigungen innerhalb der Instanz

Technische Daten:

• IP-Adresse
• Browser-Typ und -Version
• Betriebssystem
• Zeitpunkt und Dauer des Zugriffs
• Referrer-URL

Nutzungsdaten:

• Erstellte, bearbeitete und gelöschte Inhalte (Boards, Karten, Kommentare, Anhänge)
• Aktivitätsprotokolle innerhalb der Instanz

Vom Kunden eingestellte Daten:

• Sämtliche Inhalte und Dateien, die der Kunde oder seine Endbenutzer in die Software hochladen

3.3 Zwecke und Rechtsgrundlagen

Zweck	Rechtsgrundlage	Erläuterung
Bereitstellung und Betrieb der Software	Art. 6 Abs. 1 lit. b DSGVO	Erfüllung des Nutzungsvertrags
Technische Protokollierung (Server-Logs)	Art. 6 Abs. 1 lit. f DSGVO	Berechtigtes Interesse an Systemsicherheit und Fehleranalyse
Erstellung von Backups	Art. 6 Abs. 1 lit. b, f DSGVO	Vertragserfüllung und berechtigtes Interesse an Datensicherheit
Kundensupport	Art. 6 Abs. 1 lit. b DSGVO	Vertragserfüllung
Abrechnung und Lizenzverwaltung	Art. 6 Abs. 1 lit. b DSGVO	Vertragserfüllung
Einhaltung gesetzlicher Pflichten	Art. 6 Abs. 1 lit. c DSGVO	Gesetzliche Aufbewahrungspflichten

3.4 Speicherdauer

• Kontodaten und Nutzungsdaten: Für die Dauer des aktiven Nutzungsverhältnisses. Nach Vertragsende haben Sie 30 Tage Zeit, den Export Ihrer Daten anzufordern. Danach löschen wir gestuft:
  • nach 12 Monaten das Konto selbst mit Profil, Rechnungsanschrift und den im Kundencenter geführten Anfragen;
  • bis zum Ende des dritten Jahres den verbleibenden Vertragsnachweis — welche Lizenz mit welchem Umfang wann gültig war und welcher Vertragsfassung zugestimmt wurde. Diesen bewahren wir auf, um Ansprüche aus dem Vertrag abwehren oder belegen zu können, solange sie nicht verjährt sind;
  • danach bleiben nur noch Angaben, die wir nach Handels- und Steuerrecht aufbewahren müssen. Das sind Bestellnummer, Name, Land, Produkt, Beträge, Steuer, Datum und der Verweis auf die Rechnung bei unserem Merchant of Record. Sie werden für keinen anderen Zweck mehr verwendet und sind im Kundencenter nur noch der Administration zugänglich.
• Protokoll sicherheitsrelevanter Vorgänge: Wer wann welche Änderung an einem Konto, einer Lizenz oder einer Bestellung vorgenommen hat, bewahren wir 365 Tage auf. Das ist der Nachweis darüber, was in einem Konto geschehen ist, und wird genau dann gebraucht, wenn jemand es bestreitet.
• Server-Logs: Werden nach 90 Tagen automatisch gelöscht, sofern keine Sicherheitsvorfälle eine längere Aufbewahrung erfordern.
• Backup-Daten: Werden nach 30 Tagen nach Vertragsende gelöscht.
• Gesperrte Konten: Wurde ein Konto wegen einer Rückbuchung, einer offenen Forderung oder eines Missbrauchs gesperrt, bewahren wir die zur Wiedererkennung nötige Angabe — die E-Mail-Adresse in verschlüsselter, nicht rückrechenbarer Form — sowie den Sperrgrund und das Datum auf, damit die Sperre nicht durch eine Neuanmeldung umgangen wird. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verhinderung von Missbrauch, Erwägungsgrund 47). Wir löschen diese Angabe nach drei Jahren. Sie können der Speicherung nach Art. 21 DSGVO widersprechen; wird eine Neuanmeldung abgelehnt, erhalten Sie einen Hinweis und einen Weg, die Entscheidung von einem Menschen prüfen zu lassen.
• Kostenlose Testphase: Wurde eine Testphase nicht in ein kostenpflichtiges Abonnement überführt, löschen wir das dafür angelegte Konto 90 Tage nach Ende der Testphase vollständig und ohne weitere Aufforderung. Gelöscht werden dabei auch die Testlizenz, die Rechnungsangaben und die im Kundencenter geführten Anfragen dieses Kontos. Wird während der Testphase oder danach etwas gekauft, gilt die Frist nicht und die Daten bleiben nach den vorstehenden Regeln erhalten.

4. Datenverarbeitung auf der Website

4.1 Server-Logs

Beim Besuch unserer Website erfasst unser Webserver automatisch technische Daten (IP-Adresse, Browser-Typ, aufgerufene Seiten, Zeitpunkt des Zugriffs). Diese Daten werden für die technische Bereitstellung der Website und zur Gewährleistung der Systemsicherheit benötigt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). Server-Logs werden nach 90 Tagen gelöscht.

4.2 Reichweitenmessung

Wir zählen auf unserer Website, wie oft einzelne Schritte vorkommen – etwa das Öffnen der Preisliste oder das Absenden des Testformulars. Die Zählung läuft auf unseren eigenen Servern; eine Analysesoftware und externe Dienste setzen wir dafür nicht ein, es werden keine Daten an Dritte übermittelt. Gespeichert wird je Tag und Schritt eine Summe, dazu höchstens ein kurzer Zusatzwert aus einer festen Liste (etwa der angesehene Tarif oder eine Größenklasse wie „11–50"). Eine exakte Nutzerzahl wird nicht übermittelt, sondern bereits im Browser zu einer solchen Klasse zusammengefasst. Auf Ihrem Endgerät wird nichts gespeichert und nichts ausgelesen – weder Cookies noch vergleichbare Techniken; eine Einwilligung nach § 25 TDDDG ist deshalb nicht erforderlich. IP-Adressen und Kennungen werden nicht gespeichert; ein Rückschluss auf einzelne Personen ist damit ausgeschlossen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung unseres Webangebots). Die Zählung findet ausschließlich auf der Website statt, nicht innerhalb der PLANKA-Software.

4.3 Kontaktaufnahme

Wenn Sie uns über das Ticketsystem oder per E-Mail kontaktieren, verarbeiten wir die von Ihnen mitgeteilten Daten (Name, E-Mail-Adresse, Inhalt der Anfrage) zur Bearbeitung Ihres Anliegens. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen).

4.4 Kostenlose Testphase

Wenn Sie einen 30-tägigen Test anfordern, speichern wir die im Formular angegebenen Daten – Name, Firma, Anschrift, E-Mail-Adresse, die Domain, für die die Lizenz ausgestellt wird, sowie, sofern angegeben, Telefonnummer und Umsatzsteuer-Identifikationsnummer –, um die Lizenz auszustellen und Sie zum Test zu kontaktieren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen).

Bis der Bestätigungslink in unserer E-Mail aufgerufen wird, bestehen weder ein Konto noch eine Lizenz. Eine Anfrage, die nicht innerhalb von 72 Stunden bestätigt wird, wird mit den im Formular angegebenen Daten automatisch gelöscht.

Die Testlizenz läuft 30 Tage nach ihrer Ausstellung ab. Wird bis dahin nichts gekauft, löschen wir das für den Test angelegte Konto 90 Tage nach dem Ende des Tests, zusammen mit der Testanfrage, den Rechnungsangaben und der Lizenz. PLANKA läuft während des Tests auf Ihren eigenen Systemen; die Inhalte Ihrer Installation sind für uns nicht zugänglich und von dieser Löschung nicht betroffen.

5. E-Mail-Nachrichten an Kunden

5.1 Welche Nachrichten wir verschicken

Wir unterscheiden vier Arten von Nachrichten. Nur zwei davon sind Werbung, und genau diese beiden können Sie einzeln abbestellen.

Art	Beispiele	Rechtsgrundlage	Abbestellbar
Vertrags- und Servicenachrichten	Bestätigungen, Rechnungshinweise, Anmeldecodes, Antworten auf Ihre Anfragen, Wartungsankündigungen	Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)	nein
Sicherheitshinweise zu Ihrer Installation	eine Sicherheitslücke, die ein Update Ihrerseits erfordert	Art. 6 Abs. 1 lit. b und lit. f DSGVO (Vertragserfüllung, berechtigtes Interesse an der Sicherheit der von uns ausgelieferten Software)	nein
Produkt- und Release-Nachrichten	eine neue Version, geänderte Funktionen, Hinweise zur Umstellung	Art. 6 Abs. 1 lit. f DSGVO i. V. m. § 7 Abs. 3 UWG	ja
Newsletter	Angebote und Neuigkeiten zu PLANKA und den unmittelbar dazugehörigen Leistungen	Art. 6 Abs. 1 lit. f DSGVO i. V. m. § 7 Abs. 3 UWG	ja

Die ersten beiden Arten sind keine Werbung, sondern gehören zur Durchführung des Vertrags. Ein Sicherheitshinweis zu einer Software, die Sie von uns haben, lässt sich deshalb nicht abbestellen, solange Ihre Lizenz läuft — ihn zurückzuhalten, weil Sie keine Angebote lesen möchten, wäre das Gegenteil dessen, wozu wir Ihnen gegenüber verpflichtet sind.

5.2 Warum Sie diese Nachrichten ohne vorherige Einwilligung erhalten

Die beiden werblichen Arten schicken wir Ihnen auf Grundlage von § 7 Abs. 3 UWG. Diese Vorschrift erlaubt Werbung per E-Mail an bestehende Kunden ohne gesonderte Einwilligung, wenn wir Ihre Adresse im Zusammenhang mit dem Kauf einer Ware oder Dienstleistung von Ihnen erhalten haben, wir sie zur Direktwerbung für eigene ähnliche Waren oder Dienstleistungen verwenden, Sie nicht widersprochen haben und wir Sie bei Erhebung der Adresse und bei jeder Verwendung klar und deutlich auf Ihr Widerspruchsrecht hinweisen. Datenschutzrechtlich stützen wir die Verarbeitung auf unser berechtigtes Interesse an der Direktwerbung gegenüber unseren Kunden (Art. 6 Abs. 1 lit. f DSGVO, Erwägungsgrund 47).

„Eigene ähnliche Leistungen" nehmen wir wörtlich: Diese Nachrichten betreffen PLANKA und die unmittelbar dazugehörigen Leistungen. Allgemeine Unternehmenswerbung oder Werbung für fremde Angebote versenden wir auf dieser Grundlage nicht.

Wer diese Nachrichten bekommt, ergibt sich nicht aus einer gepflegten Liste, sondern aus Ihrem Vertragsverhältnis: Empfänger sind aktive Kundenkonten mit einer laufenden, nicht widerrufenen Lizenz. Testphasen sind ausgenommen — ein Test ist kein Kauf, und ohne Kauf greift § 7 Abs. 3 UWG nicht.

5.3 Ihr Widerspruchsrecht gegen Werbung

Sie können der Verwendung Ihrer E-Mail-Adresse für Werbung jederzeit widersprechen, ohne dass Ihnen dafür andere Kosten als die Übermittlungskosten nach den Basistarifen entstehen. Ein Widerspruch wirkt sofort und ohne Angabe von Gründen. Rechtsgrundlage ist Art. 21 Abs. 2 DSGVO in Verbindung mit § 7 Abs. 3 Nr. 3 UWG.

Dafür gibt es zwei Wege, und beide führen zum selben Ergebnis:

• Ohne Anmeldung: Am Ende jeder werblichen Nachricht steht ein Link, der genau diese Art von Nachricht mit einem Klick abbestellt. Sie brauchen dafür kein Konto und keine Anmeldung.
• Im Kundencenter: Unter Profil → Post von uns stellen Sie beide Arten getrennt ein und können einen Widerspruch dort auch wieder zurücknehmen.

Ein Widerspruch gegen eine der beiden Arten lässt die andere unberührt. Wer keine Angebote mehr möchte, erfährt weiterhin von neuen Versionen — und umgekehrt.

5.4 Welche Daten wir dafür verarbeiten

Für den Versand verwenden wir Ihre E-Mail-Adresse, Ihren Namen für die Anrede, Ihre Spracheinstellung und den Status Ihrer Lizenz, aus dem sich der Empfängerkreis ergibt. Zusätzlich vergeben wir Ihrem Konto eine zufällige Kennung, die den Abmeldelink in unseren Nachrichten Ihrem Konto zuordnet; sie dient allein diesem Zweck.

Wir messen nicht, ob und wann Sie eine Nachricht öffnen, und wir verändern die enthaltenen Links nicht, um Klicks zu zählen. Zählpixel und umgeschriebene Links wären einwilligungsbedürftig und werden nicht eingesetzt.

Über jede versandte Nachricht führen wir ein Zustellprotokoll (Empfängeradresse, Betreff, Zeitpunkt, Zustellstatus und Fehlermeldung), um fehlgeschlagene Zustellungen erkennen und wiederholen zu können. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der zuverlässigen Zustellung). Das Protokoll wird nach 90 Tagen gelöscht, bei fehlgeschlagenen Zustellungen nach 14 Tagen.

5.5 Speicherung Ihres Widerspruchs

Widersprechen Sie, speichern wir zu Ihrem Konto, für welche Art von Nachricht der Widerspruch gilt und wann er eingegangen ist. Das ist notwendig, um ihn dauerhaft zu beachten: Ohne diesen Vermerk würden Sie beim nächsten Versand wieder angeschrieben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit Art. 21 Abs. 3 und Art. 17 Abs. 3 lit. b DSGVO — der Vermerk dient allein der Durchsetzung Ihres eigenen Widerspruchs und wird für keinen anderen Zweck verwendet. Ein einmal eingegangener Widerspruch bleibt mit seinem ursprünglichen Datum erhalten und wird durch eine erneute Abmeldung nicht überschrieben. Er wird gelöscht, wenn Sie ihn zurücknehmen oder das Konto gelöscht wird.

6. Cookies

Die PLANKA-Software und unsere Website verwenden ausschließlich technisch notwendige Cookies (Session-Cookies und Login-Cookies). Diese Cookies sind für den Betrieb der Software und die Aufrechterhaltung Ihrer Sitzung erforderlich. Sie enthalten keine personenbezogenen Tracking-Informationen und werden nach Ende der Sitzung bzw. nach Ablauf der Login-Gültigkeit gelöscht.

Eine Einwilligung ist für technisch notwendige Cookies gemäß § 25 Abs. 2 TDDDG nicht erforderlich.

Analyse-Cookies oder Marketing-Cookies werden nicht eingesetzt.

7. Empfänger und Datenübermittlung

7.1 Hosting-Provider (Sub-Auftragsverarbeiter)

Die SaaS-Instanzen werden derzeit auf Servern der Hetzner Online GmbH in Deutschland betrieben. Angekündigt ist, zusätzlich die netcup GmbH in Karlsruhe heranzuziehen; Hetzner bleibt für einen Teil der Infrastruktur bestehen. Für Kunden innerhalb der EU erfolgt das Hosting auf Servern innerhalb der EU. Eine aktuelle Liste der Sub-Auftragsverarbeiter ist im Auftragsverarbeitungsvertrag aufgeführt, der öffentlich einsehbar ist.

7.2 PayPro Global Inc. (Merchant of Record)

Im Rahmen der Kaufabwicklung übermittelt PayPro Global Inc. Kunden- und Zahlungsdaten an uns, soweit dies für die Bereitstellung und Verwaltung der Software-Lizenz erforderlich ist. Wir übermitteln an PayPro Global ausschließlich Daten, die zur Abrechnung oder Lizenzierung erforderlich sind (z. B. Anzahl aktiver Benutzerlizenzen). Personenbezogene Daten der Endbenutzer oder inhaltliche Nutzungsdaten werden nicht an PayPro Global übermittelt. PayPro Global ist eigenständig datenschutzrechtlich Verantwortlicher.

7.3 Keine sonstige Weitergabe

Eine darüber hinausgehende Übermittlung personenbezogener Daten an Dritte findet nicht statt, es sei denn:

• dies dient der Rechnungslegung oder steuerlichen Zwecken, oder
• ein rechtskräftiger richterlicher Beschluss ordnet die Herausgabe an.

8. Datenübermittlung in Drittländer

Für Kunden mit Sitz innerhalb der EU werden personenbezogene Daten ausschließlich auf Servern innerhalb der Europäischen Union verarbeitet. Für Kunden außerhalb der EU kann das Hosting in Rechenzentren außerhalb der EU erfolgen. In diesem Fall stellen wir durch geeignete Garantien (z. B. Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO) sicher, dass ein angemessenes Datenschutzniveau gewährleistet ist, soweit die DSGVO Anwendung findet.

9. Ihre Rechte als betroffene Person

9.1 Rechte gegenüber dem Verantwortlichen

Als Endbenutzer der SaaS-Version richten sich Ihre datenschutzrechtlichen Ansprüche primär an den Kunden (Instanz-Betreiber) als Verantwortlichen. Dies umfasst insbesondere:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruchsrecht (Art. 21 DSGVO)

9.2 Unterstützung durch den Anbieter

Wir unterstützen den Kunden (Verantwortlichen) bei der Erfüllung seiner datenschutzrechtlichen Pflichten im Rahmen des Auftragsverarbeitungsvertrags. Sie können sich auch direkt an uns wenden unter: privacy@planka.group

9.3 Widerspruch gegen Werbung

Sie haben jederzeit das Recht, der Verarbeitung Ihrer personenbezogenen Daten zum Zwecke der Direktwerbung zu widersprechen (Art. 21 Abs. 2 DSGVO). Widersprechen Sie, verarbeiten wir Ihre Daten nicht mehr für diese Zwecke. Der Widerspruch ist für Sie kostenfrei, bedarf keiner Begründung und wirkt sofort.

Wie Sie widersprechen und was von einem Widerspruch unberührt bleibt, steht in 5.3.

9.4 Widerruf der Einwilligung

Soweit die Verarbeitung auf Ihrer Einwilligung beruht, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt hiervon unberührt.

9.5 Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Die für uns zuständige Aufsichtsbehörde ist:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18
91522 Ansbach
Deutschland
Website: www.lda.bayern.de

9.6 Automatisierte Entscheidungen

Wir treffen keine automatisierten Entscheidungen, die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen, und wir betreiben kein Profiling.

Eine Ausnahme betrifft den Schutz vor Missbrauch: Wurde ein Konto wegen einer Rückbuchung, einer offenen Forderung oder eines Missbrauchs gesperrt, lehnt unser System eine erneute Testanfrage für dieselbe E-Mail-Adresse ohne weitere Prüfung ab. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verhinderung von Missbrauch, Erwägungsgrund 47). Sie erhalten in diesem Fall einen Hinweis und einen Weg, uns zu erreichen. Auf Verlangen prüft ein Mensch die Entscheidung, und Sie können Ihren Standpunkt darlegen.

10. Technische und organisatorische Maßnahmen

Wir treffen angemessene technische und organisatorische Maßnahmen zum Schutz Ihrer personenbezogenen Daten gemäß Art. 32 DSGVO, insbesondere:

• Verschlüsselte Datenübertragung (TLS/SSL)
• Server Zugang via SSH-Key
• Firewall und Fail2ban (nur notwendige Ports)
• 2FA, SQL-Injection und CSRF/XSS Schutz
• Zugriffskontrolle und Berechtigungsmanagement
• Regelmäßige Sicherheitsupdates
• Regelmäßige Backups
• Physische Sicherheit der Rechenzentren (durch den Hosting-Provider gewährleistet)

Die konkreten Maßnahmen sind im Auftragsverarbeitungsvertrag (AVV) dokumentiert.

11. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an veränderte Rechtslagen oder bei Änderungen unserer Dienste oder der Datenverarbeitung zu aktualisieren. Die aktuelle Version ist jederzeit auf unserer Website abrufbar. Bei wesentlichen Änderungen werden registrierte Kunden gesondert informiert.

---

PLANKA Software GmbH · Lindauer Str. 4 · 87439 Kempten · Deutschland