Datenschutzerklärung

Verantwortlich für die Datenverarbeitung bei plan.bar (www.plan.bar) ist:

Sebastian Ortmann
Brahmsweg 16
71111 Waldenbuch
Deutschland

E-Mail: datenschutz@plan.bar
Telefon: +49 172 5809168

Ein Datenschutzbeauftragter ist nicht benannt, da keine gesetzliche Pflicht besteht.

plan.bar ist eine Web-App zur gemeinsamen Planung von Events. Wir verarbeiten personenbezogene Daten nur, soweit es für den Betrieb der App, ihre Sicherheit und ihre Finanzierung nötig ist. Datenbank, Dateien und Server-Funktionen liegen in Frankfurt am Main (EU). Wir setzen keine Tracking-Cookies ein; die Reichweitenmessung funktioniert ohne Cookies.

Rechtsgrundlagen nach der DSGVO sind je nach Verarbeitung:

• Art. 6 Abs. 1 lit. b – Erfüllung des Nutzungsverhältnisses (Vertrag)
• Art. 6 Abs. 1 lit. f – berechtigtes Interesse (Sicherheit, Fehlerbehebung, Statistik)
• Art. 6 Abs. 1 lit. a – Einwilligung (Push-Nachrichten, personalisierte Werbung)
• Art. 6 Abs. 1 lit. c – rechtliche Pflicht (z. B. Aufbewahrung, Beantwortung von Anfragen)

Die App wird bei Vercel Inc. (USA) gehostet, die Server-Funktionen laufen in Frankfurt. Datenbank, Anmeldung, Dateispeicher und Echtzeit-Aktualisierung stellt Supabase Inc. (USA) mit Rechenzentrum in Frankfurt bereit. Beide sind als Auftragsverarbeiter vertraglich gebunden (Art. 28 DSGVO).

Bei jedem Aufruf werden technisch notwendige Daten verarbeitet: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browser- und Geräteinformationen. Zum Schutz vor Missbrauch zählen wir Anfragen je IP-Adresse (Rate-Limit); diese Einträge löschen wir nach einem Tag. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (sicherer und stabiler Betrieb). Protokolle der Anbieter werden nach deren Fristen gelöscht.

Für ein Konto verarbeiten wir E-Mail-Adresse, Passwort (nur als Hash gespeichert), Anzeigename, Benutzername, optional ein Profilbild sowie Anmeldezeitpunkte. Die Daten sind für die Nutzung von plan.bar erforderlich (Art. 6 Abs. 1 lit. b DSGVO) und bleiben gespeichert, bis du dein Konto löschst. Konto und Daten kannst du jederzeit selbst unter Mehr → Account löschen; dort kannst du auch alle Daten als Datei exportieren.

Du kannst dich statt mit E-Mail und Passwort auch mit Google (Google Ireland Limited) oder Facebook (Meta Platforms Ireland Limited) anmelden. Dann leitet dich plan.bar zum Anbieter weiter, und nach deiner Zustimmung übermittelt er uns deine E-Mail-Adresse, deinen Namen und gegebenenfalls dein Profilbild sowie eine Kennung deines Kontos. Ein Passwort speichern wir in diesem Fall nicht. Der Anbieter erfährt, dass du dich bei plan.bar anmeldest; dafür gelten seine Datenschutzhinweise (policies.google.com/privacy, facebook.com/privacy/policy). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Verknüpfung entfällt, wenn du dein Konto löschst; den Zugriff kannst du außerdem jederzeit in deinem Google- oder Facebook-Konto entfernen.

Über einen Event-Link kannst du ein Event ohne Konto ansehen. Dafür legen wir eine anonyme Sitzung an und speichern deine Teilnahme mit der Rolle „Gast“ (Art. 6 Abs. 1 lit. b DSGVO). Anonyme Gastzugänge löschen wir automatisch 90 Tage nach der letzten Nutzung.

Mit „Kostenlos starten“ kannst du plan.bar auch ohne Konto ausprobieren und ein eigenes Event planen (Testmodus). Auch dafür legen wir eine anonyme Sitzung ohne E-Mail-Adresse an (Art. 6 Abs. 1 lit. b DSGVO). Erstellst du ein Konto, übernehmen wir dein Test-Event in dieses Konto. Andernfalls löschen wir die Sitzung samt Event automatisch 7 Tage nach dem Start.

Alles, was du in einem Event einträgst (z. B. Beschreibung, Termine und Abstimmungen, Aufgaben, Packliste, Kosten, Umfragen, Chat-Nachrichten, Standort, Fotos und Videos), speichern wir, um das Event für alle Teilnehmer bereitzustellen (Art. 6 Abs. 1 lit. b DSGVO). Diese Inhalte sehen nur die Teilnehmer des jeweiligen Events. Fotos und Videos liegen in einem privaten Speicher und sind nur über kurzlebige, signierte Links abrufbar.

Trägst du Daten anderer Personen ein oder lädst Fotos hoch, auf denen andere zu sehen sind, stelle bitte sicher, dass du das darfst. Wir verarbeiten diese Daten auf Grundlage unseres und deines berechtigten Interesses an der gemeinsamen Organisation des Events (Art. 6 Abs. 1 lit. f DSGVO). Betroffene können sich jederzeit an uns wenden.

Inhalte werden gelöscht, wenn du sie entfernst, wenn der Organisator das Event löscht oder wenn das Konto des Organisators gelöscht wird.

Im Modul Standort nutzen wir Geoapify GmbH (Deutschland) für Adresssuche und Kartenkacheln auf Basis von OpenStreetMap. Dabei werden der Suchbegriff sowie deine IP-Adresse und Browserinformationen an Geoapify übertragen. Geoapify ist als Auftragsverarbeiter gebunden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

In der App informieren wir dich über neue Einträge, Nachrichten und Zuweisungen in deinen Events (Art. 6 Abs. 1 lit. b DSGVO). Push-Nachrichten erhältst du nur, wenn du sie in deinem Browser erlaubst (Art. 6 Abs. 1 lit. a DSGVO). Dafür speichern wir ein Push-Abonnement (Endpunkt und Schlüssel deines Browsers). Zugestellt werden Push-Nachrichten über den Dienst deines Browser-Herstellers (z. B. Google, Apple, Mozilla), der dabei den Inhalt der Nachricht und deine IP-Adresse verarbeiten kann. Du kannst Push jederzeit unter Mehr → Account oder in den Browser-Einstellungen abschalten; das Abonnement wird dann gelöscht.

Für Bestätigungs-, Passwort- und Einladungs-E-Mails nutzen wir einen E-Mail-Dienstleister als Auftragsverarbeiter. Verarbeitet werden E-Mail-Adresse und Inhalt der Nachricht (Art. 6 Abs. 1 lit. b DSGVO). Wenn du uns schreibst, verarbeiten wir deine Anfrage, um sie zu beantworten (Art. 6 Abs. 1 lit. b, c oder f DSGVO).

Bei Anmeldung, Registrierung, Passwort-Zurücksetzen, Event-Beitritt und Testmodus nutzen wir Cloudflare Turnstile der Cloudflare, Inc. (USA), um automatisierte Zugriffe zu verhindern. Turnstile läuft unsichtbar im Hintergrund. Dabei verarbeitet Cloudflare IP-Adresse, TLS-Merkmale und User-Agent deines Browsers ausschließlich zur Erkennung von Bots, nicht für Profile oder Werbung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Schutz der Konten und des Dienstes). Details: Turnstile Privacy Addendum

Zusätzlich zählen wir, wie viele Besucher die einzelnen Schritte der Registrierung erreichen (z. B. „Formular abgeschickt“, „Konto erstellt“), jeweils mit Browser-Art (etwa In-App-Browser von Instagram), Herkunftsseite und den utm-Werten aus der Adresse (z. B. utm_campaign), die zeigen, über welche Kampagne du gekommen bist. Dasselbe gilt für Käufe. IP-Adresse, E-Mail, Nutzer-ID und Klick-Kennungen wie fbclid speichern wir in dieser Zählung nicht, und wir legen dafür nichts auf deinem Gerät ab. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Verbesserung der Registrierung und Auswertung unserer Kampagnen). Die Zähldaten löschen wir nach 180 Tagen.

Um zu verstehen, welche Seiten genutzt werden, verwenden wir Vercel Web Analytics. Erfasst werden aufgerufene Seite, Referrer, Gerätetyp, Browser und Land. Es werden keine Cookies gesetzt; die IP-Adresse wird nur als täglich wechselnder Hash verwendet, sodass keine Wiedererkennung über mehrere Tage möglich ist. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Verbesserung des Angebots).

Zum Erkennen und Beheben technischer Fehler nutzen wir Sentry der Functional Software, Inc. (USA) mit Speicherung in der EU. Bei einem Fehler werden Fehlermeldung, technischer Ablauf, Browser, Gerät und betroffene Seite übertragen, bei einem Teil der Aufrufe außerdem Ladezeiten. IP-Adressen werden nicht gespeichert, Bildschirmaufzeichnungen finden nicht statt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Im kostenlosen Plan finanzieren wir plan.bar über Werbung von Google AdSense (Google Ireland Limited, Irland; Google LLC, USA). Google ist dabei eigenständig verantwortlich; es gelten die Datenschutzbedingungen von Google für Werbung zwischen Verantwortlichen.

Deine Auswahl kannst du jederzeit unter Mehr → Datenschutz → Einwilligungen ändern oder widerrufen. Nutzer mit Pro-Abo, Event-Pass oder Fest-Pass sehen keine Werbung. Datenschutzhinweise von Google: policies.google.com/privacy

Kommst du über eine Anzeige von plan.bar auf Facebook oder Instagram, hängt Meta eine Klick-Kennung (fbclid) an die Adresse. Nur dann fragen wir dich, ob wir den Werbeerfolg messen dürfen. Ohne deine Zustimmung speichern wir dafür nichts auf deinem Gerät und senden nichts an Meta. Gespeichert wird dann nur deine Entscheidung selbst (Cookie pb_ad_consent, 12 Monate).

Wenn du zustimmst, speichern wir die Kampagnenparameter aus der Adresse (utm_source, utm_medium, utm_campaign, utm_content, utm_term und fbclid) im Cookie pb_attr (90 Tage, nur von plan.bar gelesen) und im Sitzungsspeicher deines Browsers. Startest du dann den Testmodus, legst du ein Konto an oder kaufst du Pro, Event-Pass oder Fest-Pass, sendet unser Server ein Ereignis an die Conversions API von Meta. Übermittelt werden: Art des Ereignisses (Teststart, Registrierung oder Kauf mit Betrag und Währung), Zeitpunkt, die Seitenadresse auf plan.bar, ein Hash deiner E-Mail-Adresse, soweit wir eine haben, ein Hash deiner Nutzer-ID, IP-Adresse, Browser-Kennung und die Klick-Kennung. Für die Meldung eines Kaufs merken wir uns IP-Adresse und Browser-Kennung beim Start des Bezahlvorgangs und löschen sie, sobald der Kauf gemeldet ist. Verlängerungen eines Abos melden wir nicht. Ein Skript von Meta binden wir nicht ein, und auf plan.bar selbst spielen wir keine Meta-Anzeigen aus.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Du kannst sie jederzeit hier oder unter Mehr → Datenschutz → Einwilligungen widerrufen. Dann löschen wir das Cookie pb_attr und senden nichts mehr. Bereits gesendete Ereignisse bleiben davon unberührt.

Für die Erhebung und Übermittlung an Meta sind wir und Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irland, gemeinsam verantwortlich (Art. 26 DSGVO). Grundlage ist die Vereinbarung von Meta für gemeinsam Verantwortliche (facebook.com/legal/controller_addendum). Meta stellt dir danach die wesentlichen Informationen bereit und ist für deine Rechte gegenüber Meta zuständig; du kannst dich aber auch an uns wenden. Was Meta danach mit den Daten macht, verantwortet Meta allein. Meta kann Daten in die USA übermitteln; Meta ist nach dem EU-US Data Privacy Framework zertifiziert. Hinweise von Meta: facebook.com/privacy/policy

Kostenpflichtige Pläne (Pro-Abo, Event-Pass, Fest-Pass) verkauft Paddle.com Market Limited (Großbritannien) als Wiederverkäufer („Merchant of Record“). Paddle verarbeitet Name, E-Mail-Adresse, Zahlungs- und Rechnungsdaten in eigener Verantwortung; wir erhalten nur Kunden- und Abo-Kennung, gebuchten Plan, Status und Laufzeit (Art. 6 Abs. 1 lit. b DSGVO). Für Großbritannien besteht ein Angemessenheitsbeschluss der EU-Kommission. Datenschutzhinweise: paddle.com/legal/privacy

Ohne Einwilligung speichern wir nur, was technisch erforderlich ist (§ 25 Abs. 2 Nr. 2 TDDDG):

• Anmelde-Cookies von Supabase, damit du eingeloggt bleibst
• Sitzungsdaten für Gastzugänge (Session Storage, endet mit dem Schließen des Tabs)
• Einstellungen im Local Storage, z. B. zuletzt geöffnete Bereiche, bereits gesehene Kontakte und ob du den Hinweis zu Push-Nachrichten geschlossen hast

Dazu gehört auch deine Entscheidung zur Werbemessung (Cookie pb_ad_consent). Das Cookie pb_attr mit den Kampagnenparametern setzen wir nur mit deiner Einwilligung (siehe Nr. 14). Cookies für personalisierte Werbung setzt Google nur mit deiner Einwilligung (siehe Nr. 13).

Vercel, Supabase, Cloudflare, Sentry, Google und Meta sind Unternehmen mit Sitz oder Muttergesellschaft in den USA. Auch wenn Daten in der EU gespeichert werden, ist ein Zugriff aus den USA nicht ausgeschlossen. Die Übermittlung stützt sich auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework, soweit der Anbieter zertifiziert ist, und im Übrigen auf Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).

• Kontodaten und eigene Inhalte: bis zur Löschung durch dich bzw. bis zur Kontolöschung
• Event-Inhalte: bis zur Löschung des Eintrags oder Events
• Anonyme Gastzugänge: 90 Tage nach der letzten Nutzung
• Testmodus ohne Konto: 7 Tage nach dem Start, samt Test-Event
• Kampagnen-Cookie pb_attr (nur mit Einwilligung): 90 Tage oder bis zum Widerruf; Sitzungsspeicher bis du den Tab schließt
• Entscheidung zur Werbemessung (pb_ad_consent): 12 Monate
• IP-Adresse und Browser-Kennung für die Meldung eines Kaufs an Meta: bis der Kauf gemeldet ist
• Zählung der Registrierungsschritte und Käufe samt utm-Werten: 180 Tage
• utm-Werte am Konto (nur mit Einwilligung erfasst): bis zur Löschung des Kontos
• Rate-Limit-Einträge: 1 Tag
• Push-Abonnements: bis zur Deaktivierung oder nach wiederholten Zustellfehlern
• Anfragen per E-Mail: bis zur Erledigung, soweit keine Aufbewahrungspflicht besteht

Du hast das Recht auf

• Auskunft über deine Daten (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Wende dich dafür an datenschutz@plan.bar. Export und Löschung kannst du auch direkt unter Mehr → Account erledigen.

Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren, z. B. beim Landesbeauftragten für den Datenschutz und die Informationsfreiheit Baden-Württemberg.

Die Angaben für Konto und Events sind nötig, um plan.bar zu nutzen. Ohne sie können wir den Dienst nicht bereitstellen. Eine automatisierte Entscheidungsfindung oder Profilbildung im Sinne von Art. 22 DSGVO findet durch uns nicht statt.

Wir passen diese Datenschutzerklärung an, wenn sich der Dienst oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.