Datenschutzerklärung

Plek ist eine Online-Buchungsplattform. Studios, Vereine, Schulen und andere Organisationen nutzen sie, um ihre Aktivitäten, Termine und Kursreihen anzubieten und Buchungen und Zahlungen entgegenzunehmen. Diese Erklärung beschreibt, welche personenbezogenen Daten Plek verarbeitet, warum, wer sie außerdem erhält und welche Rechte Sie haben.

Wer wir sind und wer verantwortlich ist

Plek wird betrieben von Small Victories, Mellestraat 303, 9090 Merelbeke-Melle, Unternehmensnummer BE0793.301.929 („Plek“, „wir“, „uns“). Sie erreichen uns unter hello@small-victories.co.

Wer für Ihre Daten verantwortlich ist, hängt davon ab, wie Sie Plek nutzen:

• Sie buchen bei einer Organisation (als Kunde oder für einen Teilnehmer wie Ihr Kind): Die Organisation, bei der Sie buchen, ist für diese Daten Verantwortlicher. Sie entscheidet, was sie abfragt und was sie damit tut. Plek ist ihr Auftragsverarbeiter: Wir speichern und verarbeiten die Daten in ihrem Auftrag und nach ihren Weisungen auf Grundlage eines Auftragsverarbeitungsvertrags. Bei Fragen zu Ihren Buchungen oder um Ihre Rechte auszuüben, wenden Sie sich zuerst an diese Organisation; wenn Sie uns kontaktieren, leiten wir Ihre Anfrage weiter und helfen ihr bei der Antwort.
• Sie nutzen Plek als Mitarbeiter einer Organisation (Inhaber, Administrator, Trainer, ...), besuchen diese Website oder kontaktieren uns: Dann ist Plek Verantwortlicher.

Welche Daten wir verarbeiten

Kunden und Teilnehmer (im Auftrag der Organisation)

• Konto: Name, E-Mail-Adresse, Telefonnummer (optional), bevorzugte Sprache, ob Ihre E-Mail-Adresse bestätigt ist, ein Passwort (nur als Hash gespeichert), falls Sie eines festlegen, sowie einmalige Anmeldecodes und -links. Ein Kundenkonto gehört zu genau einer Organisation: Wer bei zwei Organisationen bucht, hat zwei getrennte Konten.
• Anmeldung mit Google oder Microsoft (optional): die eindeutige Konto-ID, die E-Mail-Adresse, ob sie bestätigt ist, und Ihr Name. Ihr Passwort oder andere Daten aus diesen Konten erhalten wir nicht.
• Teilnehmer (wer teilnimmt: Sie selbst oder zum Beispiel Ihre Kinder): Vor- und Nachname, Geburtsdatum und, nur wenn die Organisation danach fragt, Nationalregisternummer, T-Shirt-Größe und Bemerkungen.
• Zusätzliche Fragen und Einwilligungen, die die Organisation ihrem Buchungsformular hinzufügt, und Ihre Antworten. Dazu können Gesundheitsangaben gehören (etwa Allergien oder medizinische Hinweise), wenn die Organisation danach fragt, sowie Einwilligungen, etwa zum Fotografieren.
• Buchungen: was Sie wann gebucht haben, Stornierungen und ihr Grund, Abwesenheiten, Anwesenheiten und Check-ins, Wartelisteneinträge, Geschenkgutscheine, Rabattcodes, Mehrfachkarten, Abonnements und deren Nutzung sowie Ihre Zustimmung zu den Bedingungen der Organisation (welche Version, wann und mit welcher IP-Adresse und welchem Browser).
• Zahlungen und Rechnungen: Beträge, Zahlungsart, Status und die Referenz des Zahlungsdienstleisters sowie auf Rechnungen Rechnungsname, E-Mail-Adresse und Anschrift. Karten- und Bankdaten geben Sie beim Zahlungsdienstleister ein; sie erreichen Plek nie.
• E-Mails: die Buchungs-E-Mails an Sie (Bestätigungen, Erinnerungen, Anmeldecodes, Nachrichten der Organisation) und ihr Zustellstatus, etwa eine Rückweisung. E-Mails enthalten nie Angaben zu Kindern oder zur Gesundheit.
• Notizen der Organisation: Mitarbeiter können interne Notizen zu einem Teilnehmer führen.

Innerhalb der Organisation sehen Mitarbeiter nur, was ihre Rolle erlaubt. Ein Trainer sieht zum Beispiel Name, Geburtsdatum, interne Notizen und medizinische Antworten der Teilnehmer seiner eigenen Termine, aber keine Zahlungsdaten.

Mitarbeiterkonten (Plek ist Verantwortlicher)

• Name, E-Mail-Adresse, Passwort (nur als Hash gespeichert), bevorzugte Sprache und Region sowie die Organisationen, denen Sie angehören, mit Ihrer Rolle.
• Wenn Sie die Zwei-Faktor-Authentifizierung aktivieren: das verschlüsselte Geheimnis Ihrer Authenticator-App und Ihre Wiederherstellungscodes (als Hash gespeichert).
• Wenn Sie sich mit Google anmelden: die eindeutige Konto-ID, die E-Mail-Adresse und Ihr Name.
• Einladungen, die Sie senden oder erhalten, und ein Audit-Protokoll wichtiger Aktionen (zum Beispiel wer einen Kunden anonymisiert oder eine Rolle geändert hat).

Technische Daten

Unsere Server und Cloudflare protokollieren Anfragen mit IP-Adresse, Browser, Zeitpunkt und der aufgerufenen Seiten- oder API-Adresse, um den Dienst sicher zu halten und Fehler zu finden und zu beheben. Wir nutzen diese Daten nicht, um Sie zu verfolgen oder Profile zu erstellen.

Zwecke und Rechtsgrundlagen

Plek verkauft keine personenbezogenen Daten, zeigt keine Werbung, sendet Kunden von Organisationen keine Marketing-E-Mails und nutzt Ihre Daten weder für Profiling noch zum Training von KI-Modellen.

Anmeldung mit Google oder Microsoft und Google-Integrationen

Anmeldung mit Google oder Microsoft. Wir fragen nur die Standard-OpenID-Connect-Scopes openid, email und profile an und verwenden die eindeutige Konto-ID, die E-Mail-Adresse, ob sie bestätigt ist, und Ihren Namen, um Ihr Konto anzulegen oder mit einem bestehenden zu verknüpfen. Eine Anmeldemethode können Sie in Ihrem Konto wieder trennen.

Google Kalender (optional, für Mitarbeiter). Ein Mitarbeiter kann seinen Google Kalender verbinden, damit die Termine der Organisation dort erscheinen. Wir nutzen diesen Zugriff, um in Ihrem Hauptkalender die Einträge für die Termine der Organisation zu erstellen, zu ändern und zu löschen. Ihre anderen Einträge lesen, speichern oder ändern wir nicht.

Gmail (optional, für Organisationen). Eine Organisation kann ihre Buchungs-E-Mails von ihrer eigenen Gmail-Adresse senden. Wir nutzen diesen Zugriff, um diese E-Mails zu senden und die E-Mail-Adresse des verbundenen Kontos auszulesen. Ihre Nachrichten lesen, speichern oder analysieren wir nicht.

Plek's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

Konkret: Daten von Google nutzen wir nur für die oben beschriebenen Funktionen. Sie werden nie verkauft, nie für Werbung genutzt, nie zur Entwicklung, Verbesserung oder zum Training allgemeiner KI- oder Machine-Learning-Modelle verwendet, und niemand liest sie, es sei denn, Sie bitten uns darum (für den Support), es ist für die Sicherheit nötig oder gesetzlich vorgeschrieben. Zugriffstoken werden nur für diese Funktionen verwendet und gelöscht, wenn Sie die Verbindung in Plek trennen; Sie können den Zugriff auch jederzeit in Ihrem Google-Konto widerrufen.

Wer Ihre Daten erhält

Wir arbeiten nur mit Dienstleistern, die die Daten für den Betrieb von Plek benötigen, mit Verträgen, die sie zu deren Schutz verpflichten:

• Oracle Cloud Infrastructure: Server, Datenbank und Dateispeicher (etwa hochgeladene Bilder und Exporte), in einem Rechenzentrum in der Europäischen Union.
• Cloudflare: Hosting der Web-Apps, DNS, Auslieferung von Inhalten und Schutz vor Angriffen.
• Brevo (Sendinblue SAS, Frankreich): Versand von E-Mails und Verfolgung ihrer Zustellung. Verbindet eine Organisation ihr eigenes Gmail oder ihren eigenen Mailserver, laufen ihre E-Mails darüber.
• Zahlungsdienstleister, die die Organisation wählt: Mollie, Worldline oder Payconiq. Sie verarbeiten Ihre Zahlung als eigenständige Verantwortliche nach ihren eigenen Datenschutzerklärungen.
• Google und Microsoft, nur wenn Sie deren Anmeldung nutzen oder eine Organisation Google Kalender oder Gmail verbindet.

Die Organisation, bei der Sie buchen, sieht die Daten ihrer eigenen Kunden und Teilnehmer. Organisationen sehen nie die Daten anderer Organisationen. Behörden erhalten Daten nur, wenn das Gesetz es verlangt.

Übermittlungen außerhalb der Europäischen Union

Datenbank und Dateien von Plek werden in der Europäischen Union gespeichert. Einige Dienstleister (Cloudflare, Google, Microsoft) können Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten. Die Übermittlung stützt sich dann auf einen Angemessenheitsbeschluss (etwa den EU-US-Datenschutzrahmen) oder auf die Standardvertragsklauseln der Europäischen Kommission.

Speicherdauer

• Daten von Kunden und Teilnehmern speichern wir, solange die Organisation Plek nutzt, oder bis die Organisation oder Sie sie löschen lassen. Jede Organisation kann eine automatische Bereinigung aktivieren: Kunden anonymisieren, die seit einer Anzahl von Jahren inaktiv sind, Konten, deren E-Mail-Adresse nach einer Anzahl von Monaten noch immer nicht bestätigt ist, und Antworten auf Buchungsfragen (etwa medizinische Hinweise) eine Anzahl von Monaten nach Ende des Termins oder der Kursreihe löschen. Die Fristen legt die Organisation fest.
• Anonymisieren entfernt Namen, E-Mail-Adresse, Telefonnummer, Geburtsdatum, Nationalregisternummer, Antworten auf Buchungsfragen, Anmeldemethoden sowie die bei akzeptierten Bedingungen gespeicherte IP-Adresse und den Browser. Was bleibt (etwa dass eine Buchung bezahlt wurde), lässt sich Ihnen nicht mehr zuordnen.
• Rechnungen und Zahlungsdaten bewahren wir so lange auf, wie es das Buchhaltungs- und Steuerrecht verlangt (in Belgien derzeit bis zu 10 Jahre), auch nach einer Anonymisierung.
• Mitarbeiterkonten bleiben bis zu ihrer Löschung bestehen; das Audit-Protokoll bleibt erhalten, solange das Konto der Organisation besteht.
• Server-Protokolle bewahren wir kurz auf, höchstens 30 Tage, es sei denn, wir benötigen sie zur Untersuchung eines Vorfalls.
• Beendet eine Organisation die Nutzung von Plek, löschen wir ihre Daten innerhalb von 90 Tagen, außer was wir gesetzlich aufbewahren müssen.

Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung und Löschung Ihrer Daten, auf Einschränkung der Verarbeitung, auf Widerspruch, auf Datenübertragbarkeit und darauf, Ihre Einwilligung jederzeit zu widerrufen (ohne dass dies die frühere Verarbeitung berührt). Im Kundenportal der Organisation, bei der Sie buchen, können Sie:

• Ihre Daten und die Ihrer Teilnehmer einsehen und ändern;
• alle über Sie und Ihre Teilnehmer gespeicherten Daten als Datei herunterladen;
• die Löschung Ihres Kontos beantragen. Sie bestätigen mit einem Code, den wir Ihnen per E-Mail senden. Haben Sie noch anstehende Buchungen, werden Ihre Daten anonymisiert, sobald diese vorbei sind.

Für alles andere wenden Sie sich an die Organisation, bei der Sie buchen, oder an uns unter hello@small-victories.co. Wir antworten innerhalb eines Monats. Sie haben außerdem das Recht, Beschwerde bei der belgischen Datenschutzbehörde einzulegen, Rue de la Presse 35, 1000 Brüssel, www.datenschutzbehorde.be, oder bei der Aufsichtsbehörde Ihres Wohnsitzlandes.

Cookies und lokaler Speicher

Plek verwendet keine Werbe-, Analyse- oder Tracking-Cookies und fragt deshalb keine Cookie-Einwilligung ab. Die Apps speichern im lokalen Speicher Ihres Browsers einige Dinge, die sie zum Funktionieren brauchen: Ihre Anmeldesitzung, Ihre gewählte Sprache, die Organisation, die Sie verwalten (für Mitarbeiter), und eine Buchung, die Sie gerade abschließen. Cloudflare kann ein unbedingt erforderliches Cookie setzen, um den Dienst vor Bots zu schützen. Die Seiten der Zahlungsdienstleister setzen ihre eigenen Cookies.

Sicherheit

Alle Verbindungen sind verschlüsselt (HTTPS). Passwörter werden als Hash gespeichert, Mitarbeiter können die Zwei-Faktor-Authentifizierung nutzen, der Zugriff innerhalb einer Organisation folgt Rollen und Berechtigungen, wichtige Aktionen werden protokolliert und es werden regelmäßig Backups erstellt. Gefährdet eine Datenpanne Ihre Rechte, werden die Organisation und, wo erforderlich, Sie und die Aufsichtsbehörde unverzüglich informiert.

Kinder

Teilnehmer können Kinder sein. Ihre Daten gibt ein Elternteil oder Vormund an, der die Buchung über sein eigenes Kundenkonto verwaltet. Kundenkonten sind für Erwachsene gedacht.

Änderungen dieser Erklärung

Wir können diese Erklärung anpassen, wenn sich Plek oder die Rechtslage ändert. Das Datum oben zeigt die aktuelle Fassung. Über wichtige Änderungen informieren wir Organisationen und Mitarbeiter im Voraus.

Kontakt

Small Victories, Mellestraat 303, 9090 Merelbeke-Melle, Unternehmensnummer BE0793.301.929. E-Mail: hello@small-victories.co.