Datenschutzerklärung

Stand: Oktober 2026 [PRÜFEN: Datum beim Veröffentlichen setzen]

Diese Erklärung informiert nach Art. 13 und 14 DSGVO darüber, welche personenbezogenen Daten beim Besuch der Website plenva.de und bei der Nutzung der Web-App Plenva verarbeitet werden, wozu, auf welcher Rechtsgrundlage, wer sie erhält, wie lange sie gespeichert werden und welche Rechte Sie haben.

Kurz vorweg:

• Plenva setzt keine Werbe- oder Tracking-Cookies ein, nutzt keine Werbedienste und lädt keine Schriftarten oder Skripte von Google oder anderen Drittanbietern. Die Schriftarten liefern wir vom eigenen Server aus.
• Server und Datenbank stehen in Deutschland.
• Plenva enthält keine KI, an die Ihre Inhalte geschickt werden. Daten verlassen Plenva über eine Schnittstelle nur, wenn Ihr Team selbst eine Verbindung einrichtet (etwa einen eigenen KI-Assistenten über MCP, einen Webhook oder einen Chat-Kanal).

[PRÜFEN: App-Domain festlegen. Im Code sind derzeit app.plenva.de (Backend-Standard) und plenva.app (Website-Konfiguration) vorgesehen; alle Adressen in dieser Erklärung danach angleichen.]

1. Verantwortlicher

Omar El Hussein SolidCode – Softwareentwicklung und Beratung (Marke „Plenva“) Ruschkamp 34, 28259 Bremen, Deutschland Telefon: +49 176 61217277 E-Mail: datenschutz@plenva.de [PRÜFEN: Postfach einrichten oder hallo@plenva.de verwenden]

Einen Datenschutzbeauftragten haben wir nicht benannt, weil die Voraussetzungen des Art. 37 DSGVO und des § 38 BDSG nicht vorliegen. [PRÜFEN: Pflicht entsteht u. a. ab 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, oder bei umfangreicher Verarbeitung besonderer Kategorien als Kerntätigkeit. Mit dem Anwalt klären, ob die Verarbeitung von Krankmeldungen für Kunden darunter fallen kann.]

2. Zwei Rollen: Verantwortlicher und Auftragsverarbeiter

Plenva verarbeitet Daten in zwei Rollen:

1. Als Verantwortlicher für alles, was wir für unsere eigenen Zwecke verarbeiten: die Website, Anfragen und Warteliste, Registrierung, Konto, Anmeldung und Sicherheit, Vertrag, Abrechnung und Zahlung, System-E-Mails, Missbrauchsabwehr und der Betrieb der Plattform. Diese Verarbeitungen beschreiben die Abschnitte 3 bis 12.
2. Als Auftragsverarbeiter (Art. 28 DSGVO) für alle Inhalte, die ein Team in seinem Arbeitsbereich (Workspace) speichert: Aufgaben, Notizen, Besprechungen, Stunden, Arbeitszeiten, Abwesenheiten, Kunden, Angebote, Rechnungen, Belege, Bankumsätze, Dateien, Anfragen und Tickets. Verantwortlicher ist dafür das jeweilige Kundenunternehmen. Grundlage ist unser Auftragsverarbeitungsvertrag (AVV). Abschnitt 13 erklärt, was das für Sie bedeutet.

Sind Sie Beschäftigte, Kundin, Gast oder Ansprechpartner eines Plenva-Kunden, wenden Sie sich mit Fragen zu Ihren Daten im Workspace bitte zuerst an dieses Unternehmen. Wir leiten Anfragen, die uns erreichen, an den Kunden weiter und unterstützen ihn bei der Antwort.

3. Hosting

Website, App, Schnittstellen (API) und Datenbank betreiben wir auf Servern der netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, im Rechenzentrum Nürnberg, Deutschland. netcup verarbeitet die Daten in unserem Auftrag (Art. 28 DSGVO). Alle Inhalte einschließlich hochgeladener Dateien liegen in unserer Datenbank bei netcup; ein externer Dateispeicher wird nicht genutzt.

Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren, zuverlässigen Betrieb (Art. 6 Abs. 1 lit. f DSGVO), bei Kunden zusätzlich die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

[PRÜFEN: AVV mit netcup abschließen (im Kundencontrollpanel). Datensicherungen: Anbieter, Standort und Aufbewahrungsdauer sind noch nicht festgelegt. Liegen Backups bei einem anderen Anbieter, diesen hier und in der Unterauftragsverarbeiter-Liste ergänzen.]

4. Aufruf der Website und der App, Server-Logdateien

Bei jedem Aufruf verarbeitet der Webserver technisch notwendige Angaben, die Ihr Browser übermittelt: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Referrer, Browser und Betriebssystem, Statuscode und übertragene Datenmenge. Wir brauchen sie, um die Seiten auszuliefern, Fehler zu finden und Angriffe abzuwehren (Art. 6 Abs. 1 lit. f DSGVO). Eine Zusammenführung mit anderen Daten findet nicht statt.

Die Übertragung erfolgt ausschließlich verschlüsselt (HTTPS/TLS).

Speicherdauer: [PRÜFEN: Frist für Server-Logs festlegen und technisch einstellen, z. B. 14 Tage; danach hier eintragen.]

5. Cookies und Speicherung auf Ihrem Gerät (§ 25 TDDDG)

Website. Die Website setzt keine Cookies. Im lokalen Speicher Ihres Browsers legen wir nur Ihre Auswahl zu „Cookies und Speicherung“ ab, damit wir nicht bei jedem Besuch erneut fragen. Das ist technisch notwendig (§ 25 Abs. 2 Nr. 2 TDDDG). Die Auswahl verlässt Ihr Gerät nicht und wird nach zwölf Monaten erneut erfragt.

Reichweitenmessung (geplant). Wir planen, eine selbst betriebene Instanz von Umami einzusetzen. Umami arbeitet ohne Cookies und ohne geräteübergreifende Kennung, speichert keine vollständigen IP-Adressen und läuft auf unserem eigenen Server, sodass keine Daten an Dritte gehen. Es ist derzeit nicht aktiv. Sobald es aktiv ist, nennen wir hier Zweck, Rechtsgrundlage und Speicherdauer. [PRÜFEN: Vor dem Einschalten klären, ob Umami ohne Einwilligung laufen darf (§ 25 Abs. 2 TDDDG / Art. 6 Abs. 1 lit. f DSGVO) oder ob es über die Einwilligungskategorie „Statistik“ geladen werden muss. Die Website lädt das Skript nur, wenn PUBLIC_UMAMI_SRC und PUBLIC_UMAMI_ID gesetzt sind.]

App. Die App setzt keine Cookies. [PRÜFEN: Die Sicherheitsplanung sieht vor, den Anmeldeschlüssel künftig in ein httpOnly-Cookie zu verlegen; dann diesen Absatz anpassen.] Sie speichert im lokalen Speicher Ihres Browsers:

• den Anmeldeschlüssel, damit Sie angemeldet bleiben. Er gilt standardmäßig 24 Stunden oder so lange, wie Ihr Team es eingestellt hat („Angemeldet bleiben“), wird bei jeder Anfrage gegen Ihre Sitzung auf dem Server geprüft und beim Abmelden entfernt;
• Anzeige- und Arbeitseinstellungen, etwa Ansicht, Sortierung, Filter und eingeklappte Bereiche;
• noch nicht gespeicherte Entwürfe, etwa einer Rechnung, damit nichts verloren geht.

Diese Speicherung ist für den von Ihnen gewünschten Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Diese Daten werden nicht zur Analyse oder Werbung verwendet.

Geräteaktivität (nur mit Ihrer Erlaubnis). In der Arbeitszeiterfassung kann eine Person freiwillig erlauben, dass ihr Browser über die Idle-Detection-Schnittstelle meldet, ob der Rechner aktiv, inaktiv oder gesperrt ist. Ohne diese Browser-Erlaubnis wird nur die Aktivität innerhalb von Plenva gesehen. Details stehen in Abschnitt 13.4.

6. Kontakt, Anfragen und Warteliste

Wenn Sie uns per E-Mail, Telefon, über das Anfrageformular oder die Warteliste kontaktieren, verarbeiten wir Ihre Angaben (Name, E-Mail-Adresse, optional Firma und Nachricht), um Ihre Anfrage zu beantworten oder Sie über den Start von Plenva zu informieren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn es um einen möglichen Vertrag geht, sonst unser berechtigtes Interesse an der Beantwortung (Art. 6 Abs. 1 lit. f DSGVO). Für die Warteliste ist die Rechtsgrundlage Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit widerrufen können.

Beim Anfrageformular speichern wir zur Missbrauchsabwehr zusätzlich die IP-Adresse. Sie wird nach 30 Tagen gelöscht. Die Anfrage selbst löschen wir, wenn sie erledigt ist, es sei denn, handels- oder steuerrechtliche Aufbewahrungspflichten gelten. Warteliste-Einträge löschen wir nach Ihrem Widerruf oder spätestens [PRÜFEN: Frist, z. B. 6 Monate nach dem öffentlichen Start].

[PRÜFEN: Die Warteliste (/api/public/warteliste) ist im Backend noch nicht vorhanden. Double-Opt-in einplanen und die Felder hier angleichen, sobald das Formular steht.]

7. Registrierung, Konto und Workspace

Für ein Konto verarbeiten wir Name, E-Mail-Adresse, Passwort (nur als bcrypt-Hash), den Namen des Teams und die Rolle im Team. Bei der Registrierung bestätigen Sie Ihre E-Mail-Adresse mit einem Code. Zweck ist die Bereitstellung von Plenva nach unseren AGB (Art. 6 Abs. 1 lit. b DSGVO).

Gegen Missbrauch (Massenanmeldungen, mehrfache Gratis-Testphasen) speichern wir bei der Registrierung die Domain Ihrer E-Mail-Adresse, einen Hash Ihrer IP-Adresse (nicht die Adresse selbst) und einen Abgleichschlüssel des Firmennamens. Auffällige Anmeldungen prüft eine Person aus unserem Team; eine ausschließlich automatisierte Entscheidung findet nicht statt. Rechtsgrundlage ist unser berechtigtes Interesse an der Missbrauchsabwehr (Art. 6 Abs. 1 lit. f DSGVO). [PRÜFEN: Löschfrist für signup_signals festlegen; derzeit ist keine definiert.]

Laden Sie Kolleginnen und Kollegen ein, verarbeiten wir deren E-Mail-Adresse, um die Einladung zu senden. Nicht angenommene Einladungen löschen wir 90 Tage nach Ablauf oder Rücknahme.

8. Anmeldung und Kontosicherheit

Zum Schutz Ihres Kontos verarbeiten wir:

• Sitzungen: Gerätebezeichnung, IP-Adresse, Browser und Zeitpunkte jeder Anmeldung, damit Sie aktive Sitzungen sehen und beenden können und wir Sie bei einer Anmeldung von einem neuen Gerät per E-Mail warnen können. Beendete Sitzungen löschen wir nach 90 Tagen, vertrauenswürdige Geräte 30 Tage nach Ablauf.
• Zwei-Faktor-Anmeldung: das Geheimnis Ihrer Authenticator-App (verschlüsselt mit AES-256-GCM), einmalig nutzbare Backup-Codes (nur als Hash) und Anmeldecodes per E-Mail.
• Passkeys: nur den öffentlichen Schlüssel und eine Kennung Ihres Passkeys. Biometrische Daten (Fingerabdruck, Gesicht) bleiben auf Ihrem Gerät und erreichen uns nie.
• Sicherheitsprotokoll: Anmeldungen, fehlgeschlagene Versuche, Änderungen an Passwort, Zwei-Faktor-Anmeldung und Team-Richtlinien mit Zeitpunkt, IP-Adresse und Browser. IP-Adresse und Browser entfernen wir nach 365 Tagen; der Eintrag selbst bleibt als Nachweis für das Team bestehen.
• Anmeldebegrenzung: Nach mehreren Fehlversuchen werden weitere Versuche vorübergehend gebremst.
• Links zum Zurücksetzen des Passworts und zur Bestätigung einer neuen E-Mail-Adresse: Diese löschen wir 7 Tage nach Ablauf.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (sicherer Zugang als Teil des Vertrags), Art. 6 Abs. 1 lit. f DSGVO (Abwehr von Kontoübernahmen) und Art. 32 DSGVO in Verbindung mit Art. 6 Abs. 1 lit. c DSGVO.

9. Vertrag, Abrechnung und Zahlung (Stripe)

Bezahlte Pläne rechnen wir über Stripe ab. Anbieter ist die Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland. Wir übermitteln Stripe die E-Mail-Adresse der bestellenden Person, den Namen des Teams und eine interne Team-Kennung. Ihre Zahlungsdaten (Karte, SEPA-Lastschrift u. a.) geben Sie direkt bei Stripe ein; wir erhalten sie nicht. Von Stripe erhalten wir den Status Ihres Abonnements (aktiv, gekündigt, Zahlung offen) und das Datum der nächsten Verlängerung.

Zweck ist die Abwicklung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO) sowie die Erfüllung steuer- und handelsrechtlicher Pflichten (Art. 6 Abs. 1 lit. c DSGVO). Stripe verarbeitet Zahlungsdaten zum Teil als eigener Verantwortlicher, etwa zur Betrugsprävention und zur Erfüllung von Pflichten aus dem Geldwäscherecht. Stripe kann Daten an die Stripe, Inc. in den USA übermitteln. Grundlage ist der Angemessenheitsbeschluss für das EU-U.S. Data Privacy Framework (Stripe, Inc. ist zertifiziert) und ergänzend die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Datenschutzhinweise von Stripe: https://stripe.com/de/privacy

[PRÜFEN: Stripe-DPA im Dashboard akzeptieren. Die DPF-Zertifizierung von Stripe, Inc. unter dataprivacyframework.gov prüfen. Klären, ob Stripe Tax oder Rechnungen von Stripe genutzt werden; dann gehen auch Rechnungsanschrift und USt-IdNr. an Stripe.]

Rechnungen und Buchungsbelege bewahren wir nach § 147 AO und § 257 HGB bis zu zehn Jahre auf, danach werden sie gelöscht.

10. E-Mail-Versand (Amazon SES)

System-E-Mails versenden wir über Amazon Simple Email Service (SES) in der Region Frankfurt am Main (eu-central-1). Dazu gehören Anmeldecodes, Einladungen, Sicherheitswarnungen, Benachrichtigungen, Zusammenfassungen und Besprechungseinladungen. Gleiches gilt für E-Mails, die Ihr Team aus Plenva verschickt, etwa Rechnungen, Angebote, Protokolle und Lieferberichte. Anbieter ist die Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg. Verarbeitet werden Empfängeradresse, Absendername, Betreff, Inhalt und gegebenenfalls Anhänge.

Wir setzen keine Zählpixel und keine Klickverfolgung in E-Mails ein. Benachrichtigungs-E-Mails können Sie über den Abmeldelink in jeder E-Mail oder in Ihren Einstellungen abbestellen.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO und für Benachrichtigungen Art. 6 Abs. 1 lit. f DSGVO. Amazon ist an die Standardvertragsklauseln gebunden und unter dem EU-U.S. Data Privacy Framework zertifiziert. Ein Zugriff durch US-Behörden lässt sich für US-Mutterkonzerne nicht vollständig ausschließen. [PRÜFEN: Das AWS-DPA ist Teil der AWS Service Terms; im Konto bestätigen. Prüfen, ob für das SES-Configuration-Set eine Öffnungs- oder Klickverfolgung aktiv ist, und sie ausschalten. Absenderadresse von no-reply@solid-code.io auf eine plenva.de-Adresse umstellen.]

Protokollzeilen von Anmeldecodes und Konto-E-Mails löschen wir nach 30 Tagen, verschickte Benachrichtigungen (Betreff, Auszug) ebenfalls nach 30 Tagen.

11. Betrieb, Support und Plattformverwaltung

Wenn Sie uns um Hilfe bitten, verarbeiten wir Ihre Anfrage und die nötigen Kontodaten (Art. 6 Abs. 1 lit. b DSGVO). Unser Plattform-Team sieht Teams, Pläne, Testphasen und Nutzungszahlen, um den Dienst zu betreiben, abzurechnen und Missbrauch zu erkennen (Art. 6 Abs. 1 lit. f DSGVO). Inhalte der Workspaces sehen wir dabei nicht. Unser Team kann sich nicht als Nutzer eines Kunden anmelden. Für die Auswertung auffälliger Nutzung der API werden Aufrufe pro Schlüssel gezählt.

12. Keine automatisierten Entscheidungen, keine KI-Verarbeitung

Eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt. Plenva sendet Ihre Inhalte an kein KI-Sprachmodell. Die Software enthält zwar eine technische Anbindung für einen selbst betriebenen Sprachdienst, diese ist aber ausgeschaltet. [PRÜFEN: Vor einer Aktivierung diese Erklärung und den AVV anpassen.] „Intelligente“ Vorschläge in Plenva sind feste Regeln, die auf unserem Server laufen.

13. Inhalte im Workspace (Auftragsverarbeitung)

Für die Inhalte, die Ihr Team in Plenva speichert, ist Ihr Unternehmen verantwortlich (Abschnitt 2). Wir verarbeiten sie nur nach dessen Weisung und nach dem AVV. Dazu gehören insbesondere:

• Stammdaten der Mitglieder und Gäste, Rollen (z. B. Admin, Mitglied, Buchhaltung) und Berechtigungen;
• Aufgaben, Boards, Kommentare, Notizen, Besprechungen und Wiki-Seiten einschließlich Anhängen;
• Stunden, Arbeitszeiten, Abwesenheiten und Urlaubskonten;
• Kunden und Ansprechpartner, Angebote, Rechnungen (einschließlich E-Rechnungen im Format ZUGFeRD/XRechnung), Mahnungen, Ausgaben, Belege und Bankumsätze;
• Anfragen und Tickets, die über Formulare, Widgets, die Anfragen-E-Mail-Adresse oder die API eingehen;
• Exporte, etwa für DATEV. Diese erzeugt Plenva als Datei zum Herunterladen; an DATEV wird nichts übertragen.

13.1 Gäste, Externe und geteilte Links

Teams können Personen außerhalb des Teams Zugriff geben: als Gast auf einem Board, über einen persönlichen Link oder über einen öffentlichen Freigabelink. Gäste melden sich mit einem Code an, den wir per E-Mail senden. Beim Aufruf geteilter Inhalte speichern wir IP-Adresse, Browser und Referrer, damit das Team sieht, ob und wann ein Link geöffnet wurde. Diese Angaben entfernen wir nach 90 Tagen; die reine Zählung bleibt. Gast-Sitzungen löschen wir 90 Tage nach ihrem Ende, abgelaufene Gast-Codes nach einem Tag.

13.2 Formulare, Widgets und Anfragen per E-Mail

Teams können ein Anfrage-Widget auf ihrer Website einbinden. Was es mitsendet (Seite, Browser, Fehlermeldungen, Bildschirmfotos, Bildschirmaufnahmen, Dateien), legt das Team pro Widget fest. Standardmäßig wird nur der Seitenpfad mitgeschickt und 90 Tage aufbewahrt; technischer Kontext wird spätestens nach 365 Tagen entfernt.

E-Mails an die Anfragen-Adresse eines Teams werden zu Anfragen. Ignorierte oder verworfene E-Mails löschen wir nach 30 Tagen, den Originaltext übernommener E-Mails nach 365 Tagen; die Anfrage selbst bleibt beim Team. [PRÜFEN: Der Dienst, der E-Mails für in.plenva.de annimmt (z. B. Mailgun, Amazon SES Inbound oder SendGrid), ist noch nicht festgelegt. Nach der Auswahl in Abschnitt 15 und im AVV ergänzen.]

13.3 Abwesenheiten und Krankmeldungen (Art. 9 DSGVO)

In der Abwesenheitsverwaltung kann ein Team Krankmeldungen und Arbeitsunfähigkeitsbescheinigungen erfassen. Das sind Gesundheitsdaten (Art. 9 DSGVO). Den Grund einer Abwesenheit und hochgeladene Nachweise sehen nur die betroffene Person und die Personen, denen das Team ausdrücklich das Recht „Abwesenheitsgründe sehen“ gegeben hat. Alle anderen sehen nur „abwesend“, auch keinen Status, der auf eine Krankheit schließen lässt. Verantwortlich ist der Arbeitgeber; die Rechtsgrundlage ergibt sich in der Regel aus Art. 9 Abs. 2 lit. b DSGVO in Verbindung mit § 26 Abs. 3 BDSG. [PRÜFEN: § 26 BDSG wird nach der EuGH-Entscheidung C-34/21 teilweise als unanwendbar angesehen; Formulierung mit dem Anwalt abstimmen. Löschfrist für Nachweise (absence_documents) ist noch nicht festgelegt.]

13.4 Arbeitszeiterfassung und Gerätesignale

Plenva schlägt Arbeitsbeginn und -ende vor. Grundlage ist, was eine Person in Plenva tut, und, nur mit ihrer ausdrücklichen Zustimmung in Plenva und der Erlaubnis ihres Browsers, ob ihr Rechner aktiv, inaktiv oder gesperrt ist. Übertragen werden nur Zeitspannen mit diesem Zustand. Inhalte, Programme, Fenster oder Bildschirminhalte werden nie erfasst. Ohne Bestätigung durch die Person wird nichts als Arbeitszeit gespeichert. Hat das Team seine Büronetze hinterlegt, vergleicht Plenva die IP-Adresse einer Anfrage mit diesen Netzen, um „Büro“ oder „Homeoffice“ vorzuschlagen. Die Adresse selbst wird dafür nicht gespeichert. Gerätesignale löschen wir nach zwei Monaten; ein als „geteilt“ markierter Rechner liefert keine Signale. Änderungen an Arbeitszeiten werden protokolliert. [PRÜFEN: Mitbestimmung des Betriebsrats (§ 87 Abs. 1 Nr. 6 BetrVG) ist Sache des Kunden; in AGB und AVV darauf hinweisen.]

13.5 Verbindungen, die Ihr Team selbst einrichtet

Die folgenden Datenflüsse entstehen nur, wenn ein Team sie ausdrücklich einrichtet. Die Daten gehen dann an Systeme, die das Team selbst gewählt hat und für die es selbst verantwortlich ist:

• Kalender: Plenva liest Kalenderadressen (ICS), die das Team hinterlegt, und stellt geschützte Kalender-Abos bereit, die Ihre Kalender-App (z. B. Google, Apple, Microsoft) abruft. Beim Verbinden wählen Sie, ob Termine mit Details oder nur als „belegt“ erscheinen.
• Git: GitHub-, GitLab- oder andere Git-Dienste senden Ereignisse (Commits, Branches, Pull/Merge Requests mit Titel, Autorname und Autor-E-Mail) an Plenva, um sie Aufgaben zuzuordnen. Beschreibungstexte von Pull/Merge Requests entfernen wir nach 180 Tagen.
• Chat: Plenva sendet Meldungen an Slack, Microsoft Teams, Discord oder Google Chat, wenn das Team einen Webhook hinterlegt. Den Text gesendeter Meldungen entfernen wir nach 90 Tagen.
• Umzug aus anderen Tools: Mit einem Zugangsschlüssel des Teams liest Plenva Daten aus Jira, Asana, monday.com, ClickUp, Linear, YouTrack, GitHub, GitLab, sevDesk oder Lexware einmalig ein. Rohdaten des Imports entfernen wir 30 Tage, nachdem sich der Umzug nicht mehr rückgängig machen lässt.
• Webhooks und API: Ereignisse gehen an Adressen, die das Team festlegt. Das Zustellprotokoll samt Inhalt löschen wir nach 30 Tagen, gespeicherte Antworten für wiederholte API-Aufrufe nach 7 Tagen.
• MCP / eigener KI-Assistent: Verbindet ein Mitglied einen eigenen KI-Assistenten über MCP mit einem API-Schlüssel, liest und schreibt dieser Assistent Daten im Rahmen der Berechtigungen des Schlüssels. Die Daten gehen dann an den Anbieter dieses Assistenten. Diesen Anbieter wählt und verantwortet der Kunde; Plenva hat keinen Vertrag mit ihm. Jeder Zugriff wird protokolliert.

Zugangsschlüssel und Webhook-Adressen speichern wir verschlüsselt (AES-256-GCM).

13.6 Bankanbindung (Enable Banking)

Verbindet ein Team ein Bankkonto, damit Zahlungen automatisch ihren Rechnungen zugeordnet werden, nutzen wir die Enable Banking Oy, Espoo, Finnland [PRÜFEN: vollständige Anschrift], einen von der finnischen Finanzaufsicht zugelassenen Kontoinformationsdienst (PSD2). Die Freigabe erteilen Sie direkt bei Ihrer Bank. Plenva ruft danach nur lesend Kontoumsätze ab (Betrag, Datum, Verwendungszweck, Name und IBAN des Zahlers) und speichert sie im Workspace. Eine Zahlung kann Plenva nicht auslösen. [PRÜFEN: Rolle von Enable Banking klären, als Unterauftragsverarbeiter oder als eigener Verantwortlicher, der als lizenzierter Kontoinformationsdienst eigene Pflichten hat. Den Vertrag bzw. das DPA mit Enable Banking abschließen.]

13.7 Übersetzung von Prüfmeldungen (DeepL, optional)

Prüfmeldungen der E-Rechnungs-Validierung lassen wir gegebenenfalls über die DeepL SE, Maarweg 165, 50825 Köln, ins Deutsche übersetzen. Das sind feste Regeltexte des Prüfwerkzeugs, die in der Regel keine personenbezogenen Daten enthalten. [PRÜFEN: Die Funktion ist nur aktiv, wenn DEEPL_API_KEY gesetzt ist. Die vorhandene Übersetzungs-Schnittstelle (/api/translate) kann auch von Nutzern eingegebene Texte senden. In diesem Fall nur DeepL API Pro mit DPA verwenden (bei der kostenlosen API können Texte zur Verbesserung genutzt werden) und DeepL als Unterauftragsverarbeiter aufnehmen, sonst die Schnittstelle abschalten.]

13.8 Export und Löschung

Admins können jederzeit alle Daten des Teams als ZIP exportieren (CSV und Markdown). Notizen im Papierkorb werden nach 30 Tagen endgültig gelöscht. Beantragt ein Team die Löschung seines Workspaces, löschen wir alle Daten nach einer Frist von 30 Tagen vollständig. Gesetzliche Aufbewahrungspflichten für Rechnungen (in der Regel zehn Jahre nach § 147 AO und § 14b UStG) treffen das Kundenunternehmen; es muss seine Unterlagen vorher exportieren. Personen können im Workspace auf Wunsch des Teams anonymisiert werden. Rechnungen bleiben dabei unverändert erhalten.

14. Empfänger

Ihre Daten erhalten nur:

• die in Abschnitt 15 genannten Dienstleister;
• Systeme, die Ihr Team selbst verbindet (Abschnitt 13.5);
• Behörden, soweit wir gesetzlich dazu verpflichtet sind;
• unser Steuerberater [PRÜFEN: Name eintragen] für Buchhaltung und Steuern (Art. 6 Abs. 1 lit. c DSGVO).

Wir verkaufen keine Daten und geben sie nicht zu Werbezwecken weiter.

15. Dienstleister und Übermittlung in Drittländer

Eine Übermittlung in ein Drittland findet nur bei den Anbietern mit US-Bezug statt. Sie stützt sich auf den Angemessenheitsbeschluss der EU-Kommission zum EU-U.S. Data Privacy Framework (Art. 45 DSGVO) und ergänzend auf Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

16. Speicherdauer im Überblick

Wir speichern personenbezogene Daten, solange es für den jeweiligen Zweck nötig ist, und löschen sie danach automatisch. Eine nächtliche Aufgabe setzt diese Fristen um:

Alle anderen Inhalte im Workspace speichern wir, bis das Team sie löscht oder der Vertrag endet (Abschnitt 13.8).

17. Ihre Rechte

Sie haben das Recht auf:

• Auskunft (Art. 15 DSGVO),
• Berichtigung (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen, die auf unserem berechtigten Interesse beruhen (Art. 21 DSGVO),
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Schreiben Sie dafür an datenschutz@plenva.de [PRÜFEN]. Betrifft Ihre Anfrage Inhalte im Workspace eines Kunden, leiten wir sie an diesen weiter (Abschnitt 2).

18. Beschwerderecht

Sie können sich bei jeder Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist:

Die Landesbeauftragte für Datenschutz und Informationsfreiheit der Freien Hansestadt Bremen Arndtstraße 1, 27570 Bremerhaven Telefon: 0421 361-2010 E-Mail: office@datenschutz.bremen.de Web: https://www.datenschutz.bremen.de

[PRÜFEN: Anschrift und Kontaktdaten der Behörde vor Veröffentlichung abgleichen.]

19. Pflicht zur Bereitstellung

Für Konto und Vertrag brauchen wir Name, E-Mail-Adresse und bei bezahlten Plänen die Zahlungsangaben. Ohne diese Daten können wir Plenva nicht bereitstellen. Alle weiteren Angaben sind freiwillig.

20. Änderungen

Wir passen diese Erklärung an, wenn sich Plenva oder die Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung.