Plan Oase

Datenschutzerklärung

Stand: 2026-05-28

1. Verantwortlicher

Spüren spüren – Körperarbeit Inh. Nils Kunz Bellealliancestr. 37 20259 Hamburg Deutschland E-Mail: nils.kunz@gmx.de

Vollständige Kontaktdaten siehe Impressum.

Diese Erklärung gilt für die Nutzung der SaaS-Anwendung Plan Oase durch die Studio-Betreiber (Tenants). Für die Verarbeitung von Endkunden-Buchungsdaten ist das jeweilige Studio Verantwortlicher, Plan Oase ist Auftragsverarbeiter nach Art. 28 DSGVO (AVV).

2. Erhobene Daten

  • Signup: Studio-Name, Studio-Kürzel (Slug), Admin- und Team-E-Mail-Adresse, Passwörter als bcrypt-Hash (cost 12) — die Klartext-Passwörter sind dem Anbieter zu keinem Zeitpunkt bekannt.
  • Login: IP-Adresse für Rate-Limit-Zeitfenster (10 Minuten, danach automatisch gelöscht).
  • Session: verschlüsseltes HTTP-Cookie plan-oase-session (iron-session, HttpOnly, Secure, SameSite=Lax). Inhalt: Tenant-ID und User-Rolle, keine personenbezogenen Klartextdaten.
  • Billing: Stripe-Customer-ID. Zahlungsdaten selbst verarbeitet Stripe (siehe Punkt 4); wir speichern keine Kreditkarten-, SEPA- oder Bankkonto-Daten.
  • Audit-Log: Sicherheits- und Compliance-relevante Aktionen (Login, Passwortwechsel, Datenexport, Löschungen) mit Zeitstempel und User-ID. Rechtsgrundlage: berechtigtes Interesse an Forensik und Manipulations-Nachweis (Art. 6 Abs. 1 lit. f DSGVO).
  • System-Mails: E-Mail-Adressen, an die wir transaktionale Nachrichten versenden (Signup-Bestätigung, Passwort-Reset, Trial-Ende-Erinnerung, Rechnungen). Versand erfolgt über den im Anhang aufgeführten SMTP-Dienstleister.

3. Zwecke und Rechtsgrundlagen

  • Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Bereitstellung der Buchungs- und Schichtplanungs-Software, Trial- Verwaltung, Abrechnung.
  • Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Rate-Limiting, Missbrauchs-Abwehr, IT-Sicherheit, Forensik im Schadensfall.
  • Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO): Steuerliche Aufbewahrungsfristen für Rechnungsdaten (10 Jahre, § 147 AO).

4. Empfänger / Auftragsverarbeiter

  • Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland — Hosting der Anwendung und der Datenbank in deutschen Rechenzentren (Nürnberg/Falkenstein). AVV nach Art. 28 DSGVO geschlossen (Version 1.2 vom 16.02.2026, abgeschlossen 28.05.2026). Als von Hetzner genehmigter Sub-Auftragsverarbeiter für technischen Support in der EU eingesetzt: Hetzner Finland Oy, Huurrekuja 10, 04360 Tuusula, Finnland.
  • Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland — Zahlungsabwicklung und Rechnungsstellung. Stripe verarbeitet Zahlungsdaten als eigener Verantwortlicher gemäß seiner Datenschutzerklärung. Eine Übermittlung an die Stripe-Konzernmutter in den USA erfolgt auf Grundlage des EU-US Data Privacy Framework (Angemessenheits- beschluss der EU-Kommission vom 10.07.2023) und der Standard- vertragsklauseln.

5. Speicherdauer

  • Tenant aktiv: Dauer des Vertragsverhältnisses.
  • Trial ohne Upgrade: 14 Tage; danach unwiderrufliche Löschung sämtlicher Tenant-Daten am Ende des Tages, an dem die Frist endet.
  • Nach regulärer Kündigung: 30 Tage Cancel-Retention (Wiederherstellung möglich), danach unwiderrufliche Löschung sämtlicher Buchungs- und Stammdaten.
  • Pre-Hard-Delete-Datenexport: 30 Tage nach Bereitstellung verfügbar, danach Löschung der Export-Datei (SPEC §14.6.1).
  • Audit-Log: 3 Jahre nach Tenant-Löschung (Forensik- und Compliance- Nachweis).
  • Login-Versuche / IP-Logs: 10 Minuten (Rate-Limit-Zeitfenster).
  • Rechnungsdaten: 10 Jahre nach steuerrechtlicher Pflicht (§ 147 AO).

6. Cookies

Wir setzen ausschließlich ein technisch notwendiges Session-Cookie (plan-oase-session) ein. Es ist HTTP-Only, Secure und SameSite=Lax konfiguriert, hat keine Trackingfunktion und ist für den Login zwingend erforderlich (§ 25 Abs. 2 Nr. 2 TTDSG, keine Einwilligung erforderlich). Wir setzen keine Drittanbieter-Tracking-, Analyse- oder Werbecookies ein.

7. Betroffenenrechte (Art. 15-22 DSGVO)

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Sofern die Verarbeitung auf Ihrer Einwilligung beruht, können Sie diese mit Wirkung für die Zukunft jederzeit widerrufen.

8. Beschwerderecht

Sie können sich jederzeit bei der zuständigen Datenschutz- Aufsichtsbehörde beschweren. Für den Anbieter zuständig ist: Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) Ludwig-Erhard-Str. 22, 7. OG 20459 Hamburg Telefon: +49 40 428 54-4040 E-Mail: mailbox@datenschutz.hamburg.de Web: https://datenschutz-hamburg.de

9. Kontakt für Anfragen Betroffener (SAR)

datenschutz@plan-oase.de

Zur Verifizierung Ihrer Identität können wir Rückfragen stellen (etwa Bestätigung über die im System hinterlegte E-Mail-Adresse). Anfragen werden innerhalb der gesetzlichen Frist von 30 Tagen (Art. 12 Abs. 3 DSGVO) beantwortet.

10. Änderungen dieser Erklärung

Wir behalten uns vor, diese Datenschutzerklärung an geänderte Rechtslage oder Funktionsumfang anzupassen. Die jeweils aktuelle Version ist unter dieser URL abrufbar. Bei wesentlichen Änderungen werden bestehende Tenants per E-Mail informiert.

Datenschutz — Plan Oase