1. Verantwortlicher
Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und anderer nationaler Datenschutzgesetze für den Betrieb der Plattform ist:
Elias Bula Events
Inhaber: Elias Bula
Zum Kronenborn 25, 53557 Bad Hönningen
E-Mail: Elias.bula@eliasbula-events.de
2. Rollenverteilung: Kunde als Verantwortlicher, Planora als Auftragsverarbeiter
Soweit der Anbieter personenbezogene Daten von Mitarbeitern, Bewerbern oder sonstigen Personen verarbeitet, die der Kunde (Firma) in die Plattform eingestellt oder eingeladen hat, erfolgt dies ausschließlich im Auftrag und nach Weisung des Kunden im Sinne des Art. 28 DSGVO. Der Kunde ist insoweit alleiniger datenschutzrechtlich Verantwortlicher.
Für die Rechtmäßigkeit der Erhebung, Übermittlung, Aufgabenverwaltung sowie für die Erfüllung der Informationspflichten gegenüber seinen Beschäftigten und Bewerbern ist allein der Kunde verantwortlich. Der Anbieter prüft die durch den Kunden hochgeladenen Inhalte nicht.
3. Geltungsbereich
Diese Datenschutzerklärung gilt für die Nutzung der SaaS-Plattform „Planora“ (nachfolgend „Plattform“) inklusive aller zugehörigen Subdomains, Webanwendungen, Benachrichtigungsdienste und API-Endpunkte.
4. Allgemeines zur Datenverarbeitung
Wir verarbeiten personenbezogene Daten unserer Nutzer grundsätzlich nur, soweit dies zur Bereitstellung einer funktionsfähigen Plattform sowie unserer Inhalte und Leistungen erforderlich ist. Die Verarbeitung erfolgt auf Grundlage gesetzlicher Erlaubnistatbestände (insbesondere Art. 6 Abs. 1 lit. a, b, c, f DSGVO).
Wir verkaufen keine personenbezogenen Daten und geben diese nicht zu Werbe- oder Profilingzwecken an Dritte weiter.
5. Art der verarbeiteten Daten
Stammdaten & Account
Name, E-Mail-Adresse, Passwort (gehasht), Firmenzugehörigkeit, Rolle, Spracheinstellung.
Mitarbeiter- und Schichtdaten
Profilinformationen, Verfügbarkeiten, Skills, Bewerbungen auf Schichten, Zuweisungen, Schichtzeiten, Standorte, Kommentare und Statusverläufe.
Firmenaccounts
Firmenname, Mitgliedschaften, Rollen- und Rechtekonfiguration, Plan-/Abonnementdaten, interne Einstellungen.
Zahlungsdaten
Abrechnungs- und Vertragsdaten werden über unseren Zahlungsdienstleister Stripe verarbeitet. Kreditkarten- oder Kontodaten werden ausschließlich von Stripe erhoben und verarbeitet — wir selbst speichern keine vollständigen Zahlungsmittelinformationen.
Kommunikationsdaten
E-Mails, Push-Benachrichtigungen, In-App-Benachrichtigungen, Support-Anfragen sowie Inhalte aus dem Kontaktformular.
Technische Daten / Serverlogs
IP-Adresse, Datum/Uhrzeit der Anfrage, User-Agent, Referrer, HTTP-Statuscode, übertragene Datenmenge. Diese Daten werden ausschließlich zur Sicherstellung des Betriebs, zur Abwehr von Angriffen und zur Fehleranalyse verarbeitet (Art. 6 Abs. 1 lit. f DSGVO) und in der Regel nach maximal 30 Tagen gelöscht oder anonymisiert.
6. Zwecke der Verarbeitung
- Bereitstellung und Betrieb der Planora-Plattform
- Authentifizierung, Rollen- und Rechteverwaltung
- Schichtplanung, Bewerbungs- und Zuweisungsverfahren
- Benachrichtigungen per E-Mail und Push
- Abrechnung und Zahlungsabwicklung über Stripe
- Sicherheits-, Performance- und Missbrauchsanalyse
- Erfüllung gesetzlicher Aufbewahrungs- und Mitwirkungspflichten
7. Rechtsgrundlagen
Die Verarbeitung erfolgt auf Basis von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren und stabilen Betrieb, an Missbrauchsabwehr sowie an der Geltendmachung, Ausübung und Verteidigung von Rechtsansprüchen), Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtungen) sowie Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, soweit erforderlich).
8. Authentifizierung & Rollen
Die Plattform nutzt ein E-Mail-/Passwort-basiertes Login-System sowie optional Single-Sign-On-Verfahren. Sitzungen werden über sichere Tokens verwaltet. Innerhalb einer Firma stehen verschiedene Rollen (z. B. Owner, Planer, Mitarbeiter) zur Verfügung, die den Zugriff auf Daten technisch über Row-Level-Security-Regeln beschränken. Passwörter werden ausschließlich als kryptografische Hashes gespeichert; Klartextpasswörter sind dem Anbieter nicht bekannt.
9. Push- & E-Mail-Benachrichtigungen
Zur Benachrichtigung über Schichten, Bewerbungen, Zuweisungen oder Änderungen versenden wir transaktionale E-Mails sowie Push-Benachrichtigungen. Diese Verarbeitung ist zur Erfüllung des Nutzungsvertrags erforderlich (Art. 6 Abs. 1 lit. b DSGVO). Marketing-Nachrichten erfolgen ausschließlich auf Grundlage einer ausdrücklichen Einwilligung, die jederzeit mit Wirkung für die Zukunft widerrufen werden kann.
10. Auftragsverarbeiter / Hosting
Zur Bereitstellung der Plattform setzen wir sorgfältig ausgewählte Dienstleister ein, mit denen Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO bestehen oder geschlossen werden:
- Hosting & Datenbank: Supabase (Datenbank, Authentifizierung, Storage, Edge Functions). Datenverarbeitung primär innerhalb der EU.
- Zahlungsabwicklung: Stripe Payments Europe, Ltd. (Irland) sowie verbundene Unternehmen.
- E-Mail-Versand: Resend bzw. SendGrid (vorbereitet) für transaktionale E-Mails.
- CDN/Edge: Hosting-Plattform unseres Anbieters für die Auslieferung der Web-App.
Sofern Daten in Drittländer übermittelt werden, erfolgt dies ausschließlich auf Basis geeigneter Garantien (z. B. EU-Standardvertragsklauseln, Angemessenheits beschlüsse der EU-Kommission).
11. Cookies & lokale Speicherung
Wir verwenden ausschließlich technisch notwendige Cookies bzw. lokale Speicherung (Local Storage) zur Sitzungsverwaltung, zum Sicherstellen der Login-Funktion, zur Cookie-Consent-Verwaltung sowie zur Speicherung von Nutzereinstellungen (z. B. Theme). Tracking- oder Marketing-Cookies werden nicht ohne ausdrückliche vorherige Einwilligung gesetzt.
12. Analytics (optional)
Sofern wir zukünftig Reichweiten- oder Produktanalysen einsetzen, erfolgt dies ausschließlich datensparsam, anonymisiert oder pseudonymisiert und auf Basis einer ausdrücklichen vorherigen Einwilligung der Nutzer. Aktuell werden keine Drittanbieter-Analytics eingesetzt.
13. Speicherdauer
Personenbezogene Daten werden nur so lange gespeichert, wie es zur Erreichung des jeweiligen Zwecks erforderlich ist oder gesetzliche Aufbewahrungspflichten dies verlangen (insbesondere handels- und steuerrechtliche Pflichten von bis zu 10 Jahren gemäß §§ 147 AO, 257 HGB).
Nach Beendigung des Vertrages werden die personenbezogenen Daten des Kunden spätestens innerhalb von 30 Tagen aus dem produktiven System gelöscht. Eine Speicherung in Backups kann technisch bedingt bis zu 90 Tage länger andauern; eine aktive Nutzung dieser Backups erfolgt nicht.
14. Rechte der betroffenen Personen
Sie haben gegenüber dem jeweils Verantwortlichen folgende Rechte hinsichtlich Ihrer personenbezogenen Daten:
- Recht auf Auskunft (Art. 15 DSGVO)
- Recht auf Berichtigung (Art. 16 DSGVO)
- Recht auf Löschung (Art. 17 DSGVO)
- Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
- Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
- Recht auf Widerspruch (Art. 21 DSGVO)
- Recht auf Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
- Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO)
Bitte beachten Sie: Betroffene Personen, deren Daten der Kunde (z. B. als Arbeitgeber) in die Plattform eingestellt hat, wenden ihre Rechte primär gegen den Kunden als verantwortliche Stelle. Wir leiten entsprechende Anfragen unverzüglich an den Kunden weiter.
15. Datensicherheit
Wir setzen technische und organisatorische Maßnahmen ein, um Ihre Daten gegen unberechtigten Zugriff, Verlust oder Manipulation zu schützen. Dazu gehören u. a. TLS-Verschlüsselung, gehashte Passwörter, Rollen- und Berechtigungssysteme, Row-Level-Security auf Datenbankebene, Schutz gegen Brute-Force, regelmäßige Sicherheits-Updates sowie Zugriffsprotokollierung. Eine absolute Sicherheit kann bei der Nutzung des Internets jedoch nach dem Stand der Technik nicht gewährleistet werden.
16. Änderungen dieser Datenschutzerklärung
Wir behalten uns vor, diese Datenschutzerklärung anzupassen, sofern dies aufgrund rechtlicher Änderungen oder neuer Funktionen der Plattform erforderlich wird. Es gilt jeweils die aktuelle, auf dieser Seite veröffentlichte Fassung.