Datenschutzerklärung
Stand: 26.10.2026
1. Verantwortlicher
Verantwortlich für die Datenverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:
Timo Bonin & Florian Kleiner GbR
Mooshaldenweg 11, 88069 Tettnang, Deutschland
vertreten durch die Gesellschafter Timo Bonin und Florian Kleiner
E-Mail: fktb.gbr@gmail.com · Telefon: +49 1514 1303159
Einen Datenschutzbeauftragten haben wir nicht bestellt. Fragen zum Datenschutz richten Sie bitte an die genannte E-Mail-Adresse.
Wer für Ihre Inhalte verantwortlich ist
Planwerk wird von Planungsbüros genutzt, unseren Kunden. Für die Daten, die ein Büro und seine Mitarbeitenden in Planwerk erfassen – etwa Besprechungsaufnahmen, Transkripte, Protokolle, offene Punkte, Projekte, Arbeitszeiten, Angebote und Planlisten – sowie für die Nutzerkonten seiner Mitarbeitenden ist das jeweilige Büro verantwortlich. Wir verarbeiten diese Daten nur in dessen Auftrag und nach dessen Weisung, auf Grundlage eines Vertrags zur Auftragsverarbeitung nach Artikel 28 DSGVO. Fragen und Anträge zu diesen Daten richten Sie bitte an Ihr Büro; erreichen sie uns, leiten wir sie weiter.
Diese Erklärung beschreibt deshalb vor allem, was wir in eigener Verantwortung verarbeiten – den Aufruf der Website, technische Protokolle, die Kommunikation mit uns und die Verwaltung unserer Kundenbeziehungen – und informiert ergänzend darüber, wie Planwerk Konten und Inhalte technisch verarbeitet.
2. Welche Daten wir verarbeiten
2.1 Beim Aufruf der Website
Beim Aufruf von Planwerk verarbeitet der Server technisch notwendige Verbindungsdaten, etwa IP-Adresse, Zeitpunkt, aufgerufene Adresse, Statuscode und Browserkennung. Diese Daten fallen bei unserem Hosting-Dienstleister Vercel an (Server-Protokolle). Für Besprechungen, Angebote und Planlisten verbindet sich Ihr Browser direkt mit unserem Rechner in Tettnang; dabei fallen Verbindungsdaten bei der Weiterleitung durch Tailscale und im Zugriffsprotokoll unseres Rechners an.
2.2 Anmeldung und Nutzerkonto
Für ein Nutzerkonto werden Name, E-Mail-Adresse, Passwort (nur als bcrypt-Hash, nie im Klartext), Rolle (Administrator oder Nutzer) und die Zugehörigkeit zu einem Büro gespeichert. Richten Sie die Zwei-Faktor-Anmeldung ein, kommen deren Geheimnis (nur verschlüsselt), der Zeitpunkt der Einrichtung und Ihre Wiederherstellungscodes (nur als Hash) hinzu. Damit die Anmeldung das richtige Büro findet, steht die Zuordnung Ihrer E-Mail-Adresse zu Ihrem Büro in einem zentralen Anmeldeverzeichnis; weitere Angaben enthält es nicht. Nach der Anmeldung hält ein Cookie Ihre Sitzung (Abschnitt 4). Konten legt Ihr Büro an; wir verarbeiten sie in dessen Auftrag.
2.3 Inhalte, die Sie erfassen
Je nach den für Ihr Büro freigeschalteten Funktionen: Besprechungsaufnahmen und hochgeladene Transkripte, daraus erstellte Transkripte, Protokolle, offene Punkte und Antworten; Projekte, Arbeitszeiten und die laufende Stoppuhr; Angebots-PDFs und Preisspiegel; Planlisten.
Besprechungsinhalte, Angebote und Planlisten werden ausschließlich auf unserem Rechner in Tettnang (Deutschland) gespeichert und verarbeitet, für jedes Büro in einem eigenen Bereich. Spracherkennung und Sprachmodell laufen dort lokal; diese Inhalte werden nicht an Anbieter von KI-Diensten übermittelt und nicht zum Training von KI-Modellen verwendet. Konten, Projekte, Arbeitszeiten und Einstellungen liegen in einer eigenen Datenbank je Büro bei Neon in Frankfurt am Main. Für alle diese Inhalte ist Ihr Büro verantwortlich (Abschnitt 1).
2.4 Kontakt mit uns
Wenn Sie uns per E-Mail oder Telefon kontaktieren, verarbeiten wir Ihre Angaben und den Inhalt Ihrer Anfrage.
2.5 Kundenbeziehung und Verwaltung
Für die Beziehung zu unseren Kunden verarbeiten wir den Namen des Büros, die Angaben im Vertrag zur Auftragsverarbeitung (Firma, Anschrift, Ansprechpartner, E-Mail-Adresse für Datenschutzfragen) sowie Name und E-Mail-Adresse der Person, die den Vertrag in der Anwendung angenommen hat, mit Zeitpunkt. Unsere eigenen Verwaltungsaktionen – etwa das Anlegen eines Büros oder eines Administrators und der Wechsel in die Ansicht eines Büros – halten wir in einem Protokoll fest.
3. Zwecke und Rechtsgrundlagen
- Bereitstellung der Website, Sicherheit und Fehlersuche (2.1): Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist ein sicherer und stabiler Betrieb.
- Nutzerkonten und Inhalte (2.2, 2.3): Verarbeitung im Auftrag Ihres Büros nach Art. 28 DSGVO. Die Rechtsgrundlage bestimmt Ihr Büro als Verantwortlicher.
- Kontakt (2.4): Art. 6 Abs. 1 lit. b DSGVO, wenn Ihre Anfrage einen Vertrag betrifft oder anbahnt, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (Beantwortung von Anfragen).
- Kundenbeziehung und Verwaltung (2.5): Art. 6 Abs. 1 lit. b DSGVO (Vertrag mit dem Büro), Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 28 Abs. 9 DSGVO und Art. 6 Abs. 1 lit. f DSGVO (Nachweis vertraglicher und datenschutzrechtlicher Pflichten).
- Speicherung im Browser (Abschnitt 4): § 25 Abs. 2 Nr. 2 TDDDG – nur, soweit unbedingt erforderlich, um den von Ihnen gewünschten Dienst bereitzustellen.
Eine automatisierte Entscheidungsfindung oder Profilbildung im Sinne von Art. 22 DSGVO findet nicht statt.
5. Empfänger und Auftragsverarbeiter
Innerhalb Ihres Büros sehen Administratoren und Nutzer Daten nach ihren Rechten in Planwerk. Daten anderer Büros sind technisch getrennt. Für den Betrieb setzen wir die folgenden Dienstleister als Auftragsverarbeiter ein; sie verarbeiten Daten nur nach unserer Weisung:
Vercel Inc.
- Aufgabe
- Betrieb der Web-Oberfläche: Ausliefern der Seiten und Ausführen der Server-Funktionen (Anmeldung, Projekte, Zeiterfassung, Einstellungen, Verwaltung).
- Daten
- Kontodaten, Projekte, Zeiteinträge und Einstellungen während der Verarbeitung einer Anfrage; technische Protokolle (z. B. IP-Adresse, Zeitpunkt, aufgerufene Adresse). Keine Besprechungsinhalte, Angebote oder Planlisten – diese laufen nicht über Vercel.
- Ort
- Server-Funktionen in der Region „fra1“ (Frankfurt am Main). Die Seiten werden über das Netz von Vercel ausgeliefert, in der Regel vom nächstgelegenen Standort in Europa. Der Anbieter hat seinen Sitz in den USA.
- Drittland
- Ja – Datenverarbeitungsvereinbarung von Vercel mit Standardvertragsklauseln der EU-Kommission (Beschluss (EU) 2021/914); Vercel gibt zudem eine Zertifizierung nach dem EU-US Data Privacy Framework an.
Neon, LLC (Databricks-Gruppe)
- Aufgabe
- Betrieb der Datenbanken (PostgreSQL): je Auftraggeber eine eigene Datenbank sowie die zentrale Datenbank für Anmeldeverzeichnis und Verwaltung.
- Daten
- Kontodaten (Name, E-Mail-Adresse, Passwort-Hash, ggf. verschlüsseltes Geheimnis der Zwei-Faktor-Anmeldung), Projekte, Zeiteinträge, Stoppuhr, Einstellungen (Name, Logo), Stammdaten und Annahme dieses Vertrags, Anmeldeverzeichnis (Zuordnung der E-Mail-Adresse zum Auftraggeber). Keine Besprechungsinhalte.
- Ort
- Rechenzentrum von Amazon Web Services in Frankfurt am Main (Region eu-central-1). Der Anbieter hat seinen Sitz in den USA.
- Drittland
- Ja – Datenverarbeitungsvereinbarung von Neon. Ein Zugriff aus den USA, etwa zu Betrieb und Support, ist nicht ausgeschlossen; hierfür gelten die Garantien dieser Vereinbarung (Standardvertragsklauseln bzw. EU-US Data Privacy Framework).
Tailscale Inc.
- Aufgabe
- Weiterleitung der Verbindung zwischen Browser und dem Rechner des Auftragnehmers in Tettnang (Tailscale Funnel). Die Verbindung ist TLS-verschlüsselt und wird erst auf dem Rechner des Auftragnehmers entschlüsselt; Tailscale leitet sie nur weiter und kann die Inhalte nach eigenen Angaben nicht entschlüsseln.
- Daten
- Verbindungsdaten (IP-Adresse des Browsers, Zeitpunkt, Datenmenge). Inhalte nur in verschlüsselter Form.
- Ort
- Weiterleitungsserver von Tailscale; deren Standort ist nicht festgelegt und kann außerhalb der EU liegen.
- Drittland
- Ja – Datenverarbeitungsvereinbarung (Data Processing Addendum) von Tailscale mit Standardvertragsklauseln der EU-Kommission (Module 2 und 3).
Eine Kopie der Garantien für Übermittlungen in Drittländer können Sie bei uns anfordern. Darüber hinaus geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind.
6. Speicherdauer
- Inhalte und Nutzerkonten bleiben gespeichert, bis Ihr Büro sie löscht. Planwerk löscht Inhalte nicht selbsttätig nach Fristen. Deaktivierte Konten bleiben zur Zuordnung erfasster Zeiten gespeichert, bis Ihr Büro ihre Löschung veranlasst.
- Datensicherungen: Die Daten auf unserem Rechner in Tettnang werden täglich gesichert. Datenbank-Kopien bleiben 30 Tage; gelöschte Dateien bleiben bis 30 Tage in der Sicherung und werden dann auch dort entfernt. Die Datenbanken bei Neon haben Wiederherstellungspunkte des Anbieters für einen begrenzten Zeitraum.
- Nach Ende des Vertrags mit Ihrem Büro werden dessen Daten nach dem Vertrag zur Auftragsverarbeitung gelöscht: spätestens 60 Tage nach Vertragsende, Kopien in Sicherungen spätestens 30 Tage danach.
- Server-Protokolle bei Vercel werden nach den Fristen von Vercel gelöscht. Technische Protokolle auf unserem Rechner bewahren wir nur so lange auf, wie es für Betrieb und Fehlersuche nötig ist.
- Anmelde-Cookie: 14 Tage oder bis zum Abmelden.
- Kontaktanfragen bewahren wir auf, bis sie erledigt sind, soweit keine gesetzlichen Aufbewahrungspflichten bestehen.
- Verträge zur Auftragsverarbeitung und Verwaltungsprotokoll bewahren wir für die Dauer der Kundenbeziehung und danach bis zum Ablauf der gesetzlichen Verjährungs- und Aufbewahrungsfristen auf.
7. Ihre Rechte
Sie haben nach der DSGVO das Recht auf
- Auskunft über Ihre Daten (Art. 15),
- Berichtigung unrichtiger Daten (Art. 16),
- Löschung (Art. 17) und Einschränkung der Verarbeitung (Art. 18),
- Datenübertragbarkeit (Art. 20),
- Beschwerde bei einer Aufsichtsbehörde (Art. 77).
Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir weisen zwingende schutzwürdige Gründe nach, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
Für Inhalte und Nutzerkonten, die Ihr Büro verantwortet, wenden Sie sich bitte zuerst an Ihr Büro; wir unterstützen es bei der Erfüllung Ihrer Rechte. Für alles andere genügt eine E-Mail an uns.
Zuständige Aufsichtsbehörde für uns ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart. Sie können sich auch an die Aufsichtsbehörde Ihres Wohnorts oder Arbeitsplatzes wenden.
8. Datensicherheit
- Alle Verbindungen sind TLS-verschlüsselt.
- Passwörter werden nur als bcrypt-Hash gespeichert; die Anmeldung wird in einem signierten, für Skripte nicht lesbaren Cookie gehalten.
- Optional Zwei-Faktor-Anmeldung mit Einmalcodes aus einer Authenticator-App (Ihr Büro kann sie für alle verpflichtend machen). Das Geheimnis wird nur verschlüsselt gespeichert, Wiederherstellungscodes nur als Hash.
- Jedes Büro hat eine eigene Datenbank mit eigener Zugangsrolle und auf unserem Rechner einen eigenen Bereich; der Zugriff darauf erfolgt mit kurzlebigen, je Büro signierten Zugangsschlüsseln.
- Zugangsdaten zu den Datenbanken sind verschlüsselt gespeichert (AES-256-GCM).
- Besprechungsinhalte werden lokal verarbeitet, ohne externe KI-Dienste; die Daten werden täglich gesichert.
9. Änderungen dieser Erklärung
Wir passen diese Erklärung an, wenn sich Planwerk, die eingesetzten Dienstleister oder die Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung; frühere Fassungen bleiben unten abrufbar. Das Impressum finden Sie gesondert.
Fassungen dieser Erklärung
- Stand 26.10.2026 (diese Fassung)– Erste Fassung.