Planfaden

Auftragsverarbeitung

Vereinbarung über die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 Abs. 3 DSGVO zwischen dem Kunden von Planfaden als Verantwortlichem und websystems d. David Gstrein, Römerstraße 14/1, 39020 Kastelbell-Tschars, Italien, als Auftragsverarbeiter. Sie orientiert sich an den Standardvertragsklauseln der Europäischen Kommission für Auftragsverarbeiter (Durchführungsbeschluss (EU) 2021/915). Sie gilt in elektronischer Form und wird mit der Bestellung von Planfaden nach dem Testzeitraum Bestandteil des Vertrags. Ein gesondertes Dokument ist nicht nötig; auf Wunsch stellen wir diese Seite als PDF mit Datum bereit.

1. Gegenstand und Dauer

Gegenstand ist der Betrieb der Kursverwaltung Planfaden für den Kunden. Die Vereinbarung gilt, solange der Kunde Planfaden nutzt, und endet mit der Löschung der Daten nach Vertragsende (Abschnitt 8).

2. Art, Zweck und Umfang der Verarbeitung

Speichern, Anzeigen, Ändern, Versenden per E-Mail, Exportieren und Löschen von Daten, die der Kunde und seine Teilnehmenden in Planfaden eingeben. Zweck ist die Verwaltung von Kursen, Terminen, Räumen, Referenten, Anmeldungen, Anwesenheit, Teilnahmebestätigungen und Zahlungsstatus des Kunden sowie, wenn der Kunde es einrichtet, die Übergabe von Rechnungsdaten an sein Rechnungsprogramm.

Kategorien betroffener Personen

  • Teilnehmende und Personen auf der Warteliste
  • Referentinnen und Referenten
  • Benutzerinnen und Benutzer des Kunden (Verwaltung, Admin, Referent)

Kategorien von Daten

  • Name, E-Mail-Adresse, Telefonnummer, Bemerkung der Person bei der Anmeldung, Antworten auf Zusatzfragen des Kurses
  • Bei Anmeldungen mehrerer Personen: Name und Kontakt der anmeldenden Person, Rechnungsadresse (Firma, Anschrift, MwSt-Nummer, in Italien Steuernummer, Empfängercode oder PEC-Adresse)
  • Anmeldestatus, Zeitpunkte von Anmeldung, Bestätigung und Abmeldung, Anwesenheit je Termin, interne Notizen des Kunden
  • Zahlungsstatus, Betrag, Zahlungsart und Kennung des Zahlungsvorgangs (keine Kartendaten), Nummer der Rechnung im Rechnungsprogramm des Kunden
  • Bei Referenten und Benutzern: Name, E-Mail, Telefon, Kurzbeschreibung, Rolle, Passwort in gehashter Form
  • Protokoll versendeter E-Mails: Empfänger, Betreff, Zeitpunkt
  • Aktivitätsprotokoll: Änderungen, Exporte und Anmeldungen am System mit Zeitpunkt, handelnder Person, IP-Adresse und Browser

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung. Der Kunde weist seine Teilnehmenden an, solche Angaben nicht in Freitextfelder zu schreiben.

3. Weisungen

Wir verarbeiten die Daten nur nach dokumentierter Weisung des Kunden. Die Weisung ergibt sich aus der Nutzung von Planfaden: Was der Kunde in der Anwendung anlegt, versendet, exportiert oder löscht, ist seine Weisung. Weitere Weisungen erteilt der Kunde per E-Mail. Halten wir eine Weisung für rechtswidrig, teilen wir das mit und dürfen die Ausführung aussetzen, bis der Kunde sie bestätigt.

Wir verarbeiten die Daten nicht für eigene Zwecke, geben sie nicht an Dritte weiter und führen sie nicht mit Daten anderer Kunden zusammen. Anonymisierte Kennzahlen über die Nutzung von Planfaden insgesamt (etwa Anzahl Kurse je Kunde) dürfen wir für den Betrieb auswerten.

4. Vertraulichkeit

Zugriff auf die Daten des Kunden hat ausschließlich David Gstrein, zur Verschwiegenheit verpflichtet. Es gibt keine weiteren Mitarbeitenden. Der Zugriff auf den Server erfolgt nur über einen persönlichen Schlüssel, nicht über Passwörter.

5. Sicherheit der Verarbeitung

Technische und organisatorische Maßnahmen nach Art. 32 DSGVO, Stand September 2026:

  • Standort: Server in einem Rechenzentrum in Deutschland, Zutritt nur für dessen Personal. Die Daten verlassen die EU nicht.
  • Mandantentrennung: Jede Organisation ist über eine eigene Kennung von allen anderen getrennt. Jede Abfrage prüft die Zugehörigkeit; fremde Daten sind nicht erreichbar, auch nicht über geratene Adressen, weil alle Adressen zufällige Kennungen statt fortlaufender Nummern tragen.
  • Zugang: Persönliche Zugänge mit gehashten Passwörtern, drei Rollen mit abgestuften Rechten. Referenten sehen nur ihre eigenen Kurse. Sitzungen laufen über sichere Cookies.
  • Übertragung: Alle Verbindungen verschlüsselt (HTTPS/TLS), auch der E-Mail-Versand zum Mailserver.
  • Eingabekontrolle: Jede versendete E-Mail wird protokolliert. Ein Aktivitätsprotokoll hält Änderungen, Exporte und Anmeldungen am System mit Zeitpunkt und handelnder Person fest und wird nach einem Jahr gelöscht.
  • Schutz vor Missbrauch: Anmeldeformulare mit Bestätigung der E-Mail-Adresse, Begrenzung der Anfragen je Minute, versteckte Prüffelder gegen automatische Eingaben.
  • Trennung: Entwicklung und Test laufen auf getrennten Systemen mit Musterdaten, nie mit Kundendaten.
  • Datensicherung: Tägliche Sicherung von Datenbank und Dateien durch den Hosting-Anbieter im selben Rechenzentrum, Wiederherstellung auf Anforderung.
  • Aktualität: Anwendung und Server werden laufend aktualisiert, Sicherheitsupdates zeitnah eingespielt.
  • Löschung: Löschen in der Anwendung löscht die Daten aus der Datenbank, unbestätigte Anmeldungen werden nach Ablauf automatisch entfernt.

Die Maßnahmen werden bei Bedarf angepasst, das Schutzniveau bleibt mindestens gleich. Die jeweils gültige Fassung steht auf dieser Seite.

6. Unterauftragsverarbeiter

Der Kunde stimmt der Beauftragung folgender Unterauftragsverarbeiter zu:

  • ALL-INKL.COM Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf, Deutschland: Hosting von Anwendung, Datenbank und E-Mail-Versand. Vertrag zur Auftragsverarbeitung zwischen websystems und ALL-INKL besteht.

Nutzt der Kunde die Online-Zahlung, schließt er selbst einen Vertrag mit Stripe Payments Europe Ltd., Dublin, und hinterlegt sein eigenes Konto. Stripe ist dann sein Auftragsverarbeiter, nicht unserer. Planfaden übermittelt an Stripe nur Kursbezeichnung, Betrag und die E-Mail-Adresse der zahlenden Person.

Verbindet der Kunde ein Rechnungsprogramm (Lexware Office, sevDesk, easybill oder Fatture in Cloud), nutzt er dafür sein eigenes Konto mit eigenem Vertrag. Planfaden übermittelt auf seine Weisung je Buchung Rechnungsempfänger und Rechnungsadresse, Kurs, Termine, Namen der angemeldeten Personen und Betrag. Das Rechnungsprogramm ist dann Auftragsverarbeiter des Kunden, nicht unserer. Den Zugang speichert Planfaden verschlüsselt.

Wechsel oder Ergänzung von Unterauftragsverarbeitern kündigen wir per E-Mail mindestens vier Wochen vorher an. Der Kunde kann innerhalb dieser Frist aus wichtigem Grund widersprechen; dann endet der Vertrag zum angekündigten Termin, der Export bleibt bis dahin möglich.

7. Unterstützung des Verantwortlichen

  • Betroffenenrechte: Auskunft, Berichtigung, Löschung und Export einzelner Personen erledigt der Kunde selbst in der Anwendung (Teilnehmende, Person bearbeiten, Person löschen, Export). Anfragen, die bei uns eingehen, leiten wir unverzüglich an den Kunden weiter.
  • Verletzungen des Schutzes personenbezogener Daten: Wir informieren den Kunden unverzüglich, spätestens 48 Stunden nach Kenntnis, per E-Mail an die Antwortadresse der Organisation, mit Art der Verletzung, betroffenen Daten, wahrscheinlichen Folgen und ergriffenen Maßnahmen.
  • Datenschutz-Folgenabschätzung und Anfragen von Aufsichtsbehörden: Wir stellen die nötigen Informationen über die Verarbeitung bereit.

8. Löschung und Rückgabe

Während der Laufzeit exportiert der Kunde seine Daten jederzeit selbst als Tabelle. Nach Vertragsende löschen wir alle Daten der Organisation innerhalb von 30 Tagen vollständig, sofern keine gesetzliche Aufbewahrungspflicht besteht. Auf Wunsch bestätigen wir die Löschung per E-Mail.

9. Nachweis und Kontrolle

Wir stellen dem Kunden auf Anfrage alle Informationen bereit, die er zum Nachweis der Einhaltung dieser Vereinbarung braucht, insbesondere die Beschreibung der Maßnahmen aus Abschnitt 5 und die Bestätigung des Vertrags mit dem Hosting-Anbieter. Prüfungen vor Ort sind mit angemessener Frist nach Vereinbarung möglich; Kosten trägt der Kunde, sofern die Prüfung keinen Verstoß ergibt.

10. Pflichten des Kunden

  • Der Kunde ist für die Rechtmäßigkeit der Verarbeitung und für die Information seiner Teilnehmenden verantwortlich. Die Kursseite verlinkt dafür sein Impressum; die Datenschutzhinweise für Teilnehmende sind Sache des Kunden.
  • Der Kunde verwaltet seine Benutzerzugänge selbst, entzieht ausscheidenden Personen den Zugang und wählt sichere Passwörter.
  • Der Kunde meldet uns unverzüglich, wenn er Fehler oder Unregelmäßigkeiten in der Verarbeitung bemerkt.

11. Schlussbestimmungen

Diese Vereinbarung gilt in elektronischer Form (Art. 28 Abs. 9 DSGVO). Bei Widersprüchen zwischen dieser Vereinbarung und dem übrigen Vertrag geht diese Vereinbarung vor, soweit es um den Schutz personenbezogener Daten geht. Änderungen kündigen wir per E-Mail an; frühere Fassungen stellen wir auf Anfrage bereit. Es gilt das Recht, das für den übrigen Vertrag gilt.