Datenschutzerklärung

Stand: 25. Oktober 2026

1. Verantwortlicher

Verantwortlich für die Bearbeitung Ihrer Personendaten ist:

Altumio (Einzelfirma)
Inhaber: Michael Hochuli
Galgerain 48B
6233 Büron LU, Schweiz
Kontakt: info@planpend.ch oder via Kontaktformular

2. Übersicht

Der Schutz Ihrer persönlichen Daten ist uns wichtig. Diese Datenschutzerklärung informiert Sie darüber, welche personenbezogenen Daten wir im Zusammenhang mit der Nutzung von planpend.ch und den Apps für iPhone, iPad und Android erheben und wie wir diese verwenden. Massgebend ist das schweizerische Datenschutzgesetz (DSG); das Angebot richtet sich an Nutzer in der Schweiz.

3. Erhobene Daten

3.1 Registrierung und Nutzerkonto

Bei der Registrierung erheben wir folgende Daten:

Name
E-Mail-Adresse
Passwort (gespeichert als bcrypt-Hash)

Melden Sie sich über die Microsoft-Anmeldung Ihrer Firma an, erhalten wir zusätzlich die Microsoft-Objekt-ID und die Kennung Ihres Microsoft-Verzeichnisses (Tenant), um das Konto zuzuordnen.

Kommen Sie über einen Link unserer Website zur Registrierung, speichern wir bei Ihrer Firma den Namen der Seite, von der der Link stammt (zum Beispiel «Startseite»). So sehen wir, welche Seiten zu Anmeldungen führen. Weitere Angaben zu Ihrem Besuch erheben wir dabei nicht.

3.2 Nutzungsdaten

Beim Zugriff auf unsere Website und die Apps werden automatisch folgende Daten durch den Hosting-Provider erfasst:

IP-Adresse
Datum und Uhrzeit des Zugriffs
Aufgerufene Seiten
Browser-Typ und Version
Betriebssystem

Diese Daten werden für den technischen Betrieb und die Sicherheit benötigt. Die Server-Protokolldateien werden nach 30 Tagen automatisch gelöscht.

Zum Schutz vor Missbrauch und zur Aufklärung von Sicherheitsvorfällen führen wir zusätzlich Protokolle über Anmeldungen, sicherheitsrelevante Aktionen in der Anwendung und technische Fehler. Diese Einträge enthalten IP-Adresse, Browserangabe und Zeitpunkt, bei angemeldeten Nutzern auch die E-Mail-Adresse, bei Aktionen zudem die betroffenen Datensätze und geänderten Angaben. Passwörter speichern wir in diesen Protokollen nicht. Scheitert eine Anmeldung, eine Registrierung oder ein Passwort-Reset, kann das Fehlerprotokoll die dabei eingegebene E-Mail-Adresse enthalten. Die Protokolle werden automatisch gelöscht: Anmeldeprotokolle nach 180 Tagen, Aktionsprotokolle nach 12 Monaten, Fehlerprotokolle nach 90 Tagen.

3.3 Projektdaten

Im Rahmen der Nutzung von planpend.ch speichern Sie Projektdaten wie Pendenzen, Fotos, Checklisten und Aktivitäten. Diese Daten gehören Ihnen und werden nur zur Bereitstellung des Dienstes verarbeitet.

Erfassen Nutzer Kontaktdaten von Unternehmern (Firma, Ansprechperson, E-Mail, Telefon), bearbeiten wir diese im Auftrag des Nutzers, nur um Pendenzen zuzustellen. Löscht der Nutzer einen Unternehmer, entfernen wir Ansprechperson, E-Mail und Telefon spätestens 30 Tage danach. Was der Unternehmer zu einer Pendenz gemeldet hat (Bemerkung, Fotos), bleibt mit dem Namen seiner Firma im Verlauf dieser Pendenz, solange sie besteht.

Lädt ein Firmenadmin eine Person über ihre E-Mail-Adresse in seine Firma ein, speichern wir diese Adresse, die einladende Person und den Zeitpunkt, um die Einladung zuzustellen und der eingeladenen Person zur Annahme oder Ablehnung vorzulegen. Ihr Konto wird erst mit ihrer Zustimmung der Firma zugeordnet. Eine Einladung gilt 14 Tage. Einladungen an Adressen ohne Konto löschen wir mit dem Ablauf, alle übrigen 90 Tage nach Ablauf oder Erledigung und bei Löschung des Kontos oder der Firma sofort.

Lädt ein Firmenadmin eine Person über ihre E-Mail-Adresse in ein Projekt ein, speichern wir diese Adresse, die einladende Person und den Zeitpunkt, um die Einladung zuzustellen. Die Einladung gilt 7 Tage und nur für das Konto mit dieser Adresse. Einladungen an Adressen ohne Konto löschen wir mit dem Ablauf, alle übrigen 90 Tage nach Ablauf oder Einlösung und bei Löschung des Kontos sofort.

Bittet eine Person Ihrer Firma um Aufnahme in ein Projekt, speichern wir die Person, das Projekt und den Zeitpunkt der Anfrage, nach dem Entscheid zusätzlich die entscheidende Person, den Zeitpunkt und die vergebene Rolle. Firmenadmins und die Projektleitung des Projekts erhalten dazu eine E-Mail mit Namen und E-Mail-Adresse der anfragenden Person. Anfragen löschen wir 90 Tage nach dem Entscheid, unentschiedene 90 Tage nach der Anfrage, und bei Löschung des Kontos oder des Projekts sofort.

3.4 Fotos und Kamera

Fotos nehmen Sie mit der Kamera Ihres Geräts auf oder wählen sie aus Ihrer Fotomediathek. Die App greift nur darauf zu, wenn Sie ein Foto hinzufügen, und überträgt nur die gewählten Bilder. Fotos speichern wir so, wie Sie sie hochladen. Hat Ihr Gerät Angaben wie Aufnahmezeit oder Standort in das Foto geschrieben, bleiben sie in der Datei und sind für die Mitglieder des Projekts mit dem Foto zugänglich. Wenn Sie das nicht möchten, schalten Sie die Standortangabe in der Kamera Ihres Geräts aus.

Fotos lassen sich über einen Link teilen; auch der PDF-Rapport enthält solche Links. Wer einen Foto-Link erhält, sieht das Foto ohne Anmeldung, zusammen mit den Angaben, die Ihr Gerät in die Datei geschrieben hat (siehe oben). Ein Foto-Link bleibt gültig, bis das Foto, die Pendenz oder das Projekt gelöscht wird oder die Projektleitung einen neuen Link erstellt; der bisherige funktioniert dann nicht mehr. Unternehmer, denen Sie Pendenzen ohne eigenes Konto zustellen, erhalten keine Foto-Links.

3.5 Speicher auf Ihrem Gerät

Damit planpend ohne Netz arbeiten kann, speichern Browser und App Projektdaten, Pläne und noch nicht übertragene Änderungen auf Ihrem Gerät. Beim Abmelden entfernen wir Projektdaten und Pläne vom Gerät. Noch nicht übertragene Änderungen bleiben, bis sie übertragen sind, damit nichts verloren geht.

3.6 Mitteilungen (Push)

Wenn Sie im Browser Mitteilungen erlauben, speichern wir die Push-Adresse Ihres Browsers, den Gerätenamen und die Browserkennung. Die Mitteilung wird über den Push-Dienst des Browserherstellers (z. B. Apple, Google, Mozilla) zugestellt; er erhält dabei die verschlüsselte Mitteilung und die Push-Adresse. Sie können Mitteilungen jederzeit im Profil oder in den Einstellungen Ihres Browsers abschalten.

Wenn Sie in der App für iPhone, iPad oder Android Mitteilungen erlauben, speichern wir die Gerätekennung für Mitteilungen, die uns Apple bzw. Google dafür zuteilt, zusammen mit der Plattform (iOS oder Android). Zugestellt wird die Mitteilung über den Apple Push Notification Service (Apple Inc., USA) bzw. Firebase Cloud Messaging (Google LLC, USA). Der Dienst erhält dabei die Gerätekennung und den Inhalt der Mitteilung: Projektname, Nummer und Titel der Pendenz. Dabei können Daten in die USA übermittelt werden; Apple und Google sind unter dem Swiss–U.S. Data Privacy Framework zertifiziert (Art. 16 Abs. 1 DSG). Die Gerätekennung löschen wir, wenn Sie Mitteilungen im Profil abschalten, sich abmelden oder Ihr Konto löschen, und wenn der Dienst sie als ungültig meldet.

4. Zweck der Datenverarbeitung

Wir verarbeiten Ihre Daten ausschliesslich zu folgenden Zwecken:

Bereitstellung und Betrieb der planpend.ch-Plattform
Benutzerkontoverwaltung und Authentifizierung
E-Mail- und Push-Benachrichtigungen bei zugewiesenen Pendenzen
Technischer Support und Fehlerbehebung
Zahlungsabwicklung über Stripe (bei kostenpflichtigen Abonnements)

5. Cookies und Session-Daten

Wir verwenden ein Authentifizierungs-Cookie (planpend_token), das ein JWT-Token enthält und für die Sitzungsverwaltung erforderlich ist, sowie ein Erneuerungs-Cookie (planpend_refresh), mit dem die Sitzung ohne neue Anmeldung verlängert wird. Zu jeder Sitzung speichern wir Browserkennung und IP-Adresse, damit Sie Ihre angemeldeten Geräte sehen und abmelden können. Diese Cookies sind technisch notwendig und werden nicht für Tracking-Zwecke verwendet. Es werden keine Analyse- oder Werbe-Cookies eingesetzt.

5a. Technisches Fehler- und Performance-Monitoring

Zur Sicherstellung des technischen Betriebs setzen wir ein eigenes, clientseitiges Monitoring-Skript ein (rum.js). Es erfasst ausschliesslich technische Ereignisse — JavaScript-Fehler, fehlgeschlagene Ressourcen-Ladevorgänge und Performance-Messwerte (z. B. Ladezeiten, Core Web Vitals) — zusammen mit der aufgerufenen Seite, der Viewport-Grösse und technischen Geräteangaben (z. B. Verbindungstyp). Aus den erfassten Adressen entfernen wir vor dem Speichern Abfrageteile und alles, was wie ein Zugangscode aussieht. Die Daten werden an unsere eigenen Server übermittelt und nicht an Dritte weitergegeben. Es werden keine Eingaben, keine Inhalte und keine Nutzerprofile erfasst; eine Zusammenführung mit Ihrem Nutzerkonto findet nicht statt. Grundlage ist unser berechtigtes Interesse an einem stabilen, fehlerfreien Betrieb.

5b. Diagnose-Paket

In der App und in der Webapplikation zeichnet Ihr Gerät technische Ereignisse auf: Fehlermeldungen, fehlgeschlagene Anfragen mit Statuscode und Dauer, Grösse und Art hochgeladener Dateien, den Zustand der Mitteilungen und der Offline-Warteschlange, welche Bereiche der App Sie geöffnet haben (nur die Namen der Ansichten, ohne Inhalte oder Kennungen), dazu App-Version, Betriebssystem und Geräteangaben. Diese Aufzeichnung bleibt auf Ihrem Gerät, umfasst höchstens die letzten sieben Tage und wird gelöscht, wenn Sie sich abmelden oder sich eine andere Person auf dem Gerät anmeldet. Sie enthält keine Pendenzen, Kommentare, Fotos, Dateinamen, Passwörter oder Zugangsdaten. Nur wenn Sie im Profil «An den Support senden» wählen, übermitteln wir sie zusammen mit Ihrer Benutzer- und Firmennummer und Ihrer Rolle an unsere Server, um Ihr Problem zu beheben. Einsehen kann ein gesendetes Paket nur die Administration von planpend; jedes Öffnen wird protokolliert. Wir speichern es 30 Tage und löschen es früher, wenn Sie Ihr Konto löschen. Mit «Als Datei sichern» erhalten Sie dieselben Angaben als Datei und entscheiden selbst, an wen Sie sie weitergeben. Grundlage ist die Behebung des von Ihnen gemeldeten Problems.

6. Drittanbieter

6.1 Hosting

Unsere Website und die Apps werden bei Infomaniak Network SA, Rue Eugène-Marziano 25, 1227 Genf, Schweiz gehostet. Infomaniak betreibt Rechenzentren in der Schweiz und unterliegt dem schweizerischen Datenschutzrecht. Ebenfalls bei Infomaniak betreiben wir das Postfach info@planpend.ch, über das wir E-Mails versenden und empfangen, auch Anfragen aus dem Kontaktformular (Abschnitt 10).

6.2 Zahlungsabwicklung

Für die Zahlungsabwicklung nutzen wir Stripe Payments Europe Ltd. (Irland) bzw. Stripe, Inc. (USA). Abonnements werden ausschliesslich auf planpend.ch bezahlt; in den Apps gibt es keine Käufe. Bei der Bezahlung werden Ihre Zahlungsdaten direkt an Stripe übermittelt und dort verarbeitet; dabei können Daten in die USA übermittelt werden. Stripe ist unter dem Swiss–U.S. Data Privacy Framework zertifiziert, das ein angemessenes Datenschutzniveau gewährleistet (Art. 16 Abs. 1 DSG). Wir selbst speichern keine Kreditkarten- oder Bankdaten. Die Datenschutzrichtlinie von Stripe finden Sie unter stripe.com/privacy.

6.3 Microsoft-Anmeldung für Firmen

Wenn Sie sich über die Microsoft-Anmeldung Ihrer Firma anmelden, werden Name und E-Mail-Adresse von Microsoft Corporation (USA) an uns übermittelt; dabei können Daten in die USA übermittelt werden. Microsoft ist unter dem Swiss–U.S. Data Privacy Framework zertifiziert (Art. 16 Abs. 1 DSG). Es gelten zusätzlich die Datenschutzbestimmungen von Microsoft: privacy.microsoft.com.

6.4 Schriftarten (lokal gehostet)

Die verwendeten Schriftarten (Geist, Geist Mono) werden direkt von unseren eigenen Servern ausgeliefert. Es findet keine Verbindung zu Google Fonts oder anderen externen Schrift-Anbietern statt; Ihre IP-Adresse wird dadurch nicht an Dritte übermittelt.

6.5 App Store und Google Play

Die Apps beziehen Sie über den App Store von Apple oder Google Play. Für den Download gelten die Datenschutzbestimmungen von Apple bzw. Google; wir erhalten dabei keine Angaben über Sie.

7. Datensicherheit

Wir setzen technische und organisatorische Massnahmen zum Schutz Ihrer Daten ein, insbesondere:

Verschlüsselte Übertragung via HTTPS/TLS
Verschlüsselte Ablage hochgeladener Dateien (AES-256-GCM, eigener Schlüssel je Firma)
Passwort-Hashing mit bcrypt
JWT-basierte Authentifizierung mit CSRF-Schutz (Double-Submit Cookie)
Rollenbasierte Zugriffskontrolle
Eingabevalidierung und XSS-Schutz

8. Ihre Rechte

Sie haben jederzeit folgende Rechte bezüglich Ihrer personenbezogenen Daten:

Auskunft: Sie können Auskunft über die bei uns gespeicherten Daten verlangen.
Berichtigung: Sie können die Korrektur unrichtiger Daten verlangen.
Löschung: Sie können Ihr Konto selbst löschen (siehe Abschnitt 9) oder die Löschung Ihrer Daten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten bestehen.
Datenportabilität: Sie können die Herausgabe Ihrer Daten in einem gängigen Format verlangen.
Widerspruch: Sie können der Verarbeitung Ihrer Daten widersprechen.
Widerruf: Eine erteilte Einwilligung (z. B. für den Newsletter) können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Zur Ausübung Ihrer Rechte schreiben Sie uns an info@planpend.ch oder über unser Kontaktformular. Wir bearbeiten Anfragen innerhalb von 30 Tagen. Zudem können Sie sich an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) wenden.

9. Aufbewahrung und Löschung

Wir speichern Ihre Daten nur so lange, wie es für die Bereitstellung des Dienstes notwendig ist oder gesetzliche Aufbewahrungspflichten bestehen. Gesendete Diagnose-Pakete (Abschnitt 5b) löschen wir nach 30 Tagen. In Sicherungskopien (Backups) können sie technisch bedingt noch bis zu 30 weitere Tage verbleiben und werden im Rahmen der regulären Backup-Rotation endgültig entfernt.

Ihr Konto löschen Sie selbst in der Webapplikation oder der App unter «Mein Profil» → «Konto löschen», oder Sie schreiben an info@planpend.ch. Dabei werden Ihr Name, Ihre E-Mail-Adresse, Ihr Passwort, Ihre Sitzungen und Ihre Zwei-Faktor-Einstellungen sofort aus den Produktivsystemen gelöscht; in Sicherungskopien (Backups) können sie technisch bedingt noch bis zu 90 weitere Tage verbleiben und werden im Rahmen der regulären Backup-Rotation endgültig entfernt. Pendenzen, Fotos und Kommentare, die Sie in Projekten Ihrer Firma erfasst haben, bleiben bestehen; als Verfasser erscheint «Gelöschtes Konto». Projektdaten, die der gesamten Firma gehören, werden nur gelöscht, wenn der Firmenadmin dies veranlasst (vgl. AGB, Abschnitt 15).

Einträge in den Protokollen nach Abschnitt 3.2 bleiben nach der Löschung Ihres Kontos ohne Ihre E-Mail-Adresse bis zum Ablauf ihrer dort genannten Frist bestehen.

9a. Kein Tracking

Wir setzen keine Werbung, keine Werbenetzwerke, keine Zählpixel und keine Analysedienste Dritter ein, weder auf der Website noch in den Apps.

10. Kontaktformular

Wenn Sie unser Kontaktformular nutzen, übermitteln wir Ihren Namen, Ihre E-Mail-Adresse und Ihre Nachricht sowie die Bilder, die Sie freiwillig anhängen (bis zu drei). Wir verwenden diese Angaben ausschliesslich, um Ihre Anfrage zu bearbeiten und Ihnen zu antworten. Zur Abwehr automatisierter Anfragen übermittelt das Formular zudem, wie lange das Ausfüllen gedauert hat; diese Angabe speichern wir nicht.

Ihre Anfrage geben wir an unsere eigene Support-Plattform bei Infomaniak in der Schweiz weiter und speichern sie dort als Fall. Bis sie dort angekommen ist, liegt sie auf unserem Webserver, ebenfalls bei Infomaniak in der Schweiz. Ist die Plattform nicht erreichbar, erhalten wir Ihre Anfrage zusätzlich per E-Mail an info@planpend.ch; sie enthält Name, E-Mail-Adresse und Nachricht, die Bilder gehen dabei nicht mit. Der Webserver versucht bis zu 48 Stunden, die Anfrage nachzureichen. Sobald die Übergabe gelungen ist, oder wenn sie endgültig nicht gelingt und uns die E-Mail erreicht hat, löschen wir Text und Bilder vom Webserver.

Speicherdauer: Ein Fall wird zwei Jahre nach seinem Abschluss anonymisiert: Name und E-Mail-Adresse werden entfernt, Bilder gelöscht. Der Text der Nachricht bleibt für den Verlauf erhalten. Personendaten, die Sie im Text der Nachricht selbst nennen, werden dabei nicht automatisch entfernt. Auf Ihr Verlangen löschen wir Ihre Angaben früher. In Sicherungskopien der Plattform können die Angaben technisch bedingt noch bis zur regulären Rotation der Sicherungen verbleiben. Die E-Mail an info@planpend.ch bewahren wir höchstens zwei Jahre im Postfach auf.

IP-Adresse: Zum Schutz vor Missbrauch begrenzen wir, wie oft ein Anschluss das Formular innert zehn Minuten nutzen kann. Ihre IP-Adresse geben wir dabei weder an die Support-Plattform noch in die E-Mail weiter. Wir speichern nur eine Kennung, die Ihre Adresse nicht im Klartext enthält (bei IPv6 aus dem Netzpräfix, den ersten 64 Bit). Abgelaufene Kennungen löschen wir regelmässig.

11. Vorlagen und Newsletter

Die Vorlagen (Pendenzenliste für Excel und Checkliste) laden Sie direkt herunter, ohne Angaben zu Ihrer Person.

Den Newsletter abonnieren Sie mit Ihrer E-Mail-Adresse im Double-Opt-In-Verfahren: Sie erhalten zuerst eine E-Mail mit einem Bestätigungslink und werden erst nach Ihrer Bestätigung in den Verteiler aufgenommen. Wir speichern dazu die Adresse, den Stand der Anmeldung, die Seite, auf der Sie sich angemeldet haben, und die Zeitpunkte von Anmeldung, Bestätigungs-E-Mail und Bestätigung. Zum Schutz vor Missbrauch zählen wir kurzzeitig im Arbeitsspeicher, wie oft ein Anschluss das Formular nutzt; die IP-Adresse speichern wir dafür nicht. Rechtsgrundlage ist Ihre Einwilligung. Abmelden können Sie sich jederzeit über den Link in jeder Newsletter-E-Mail.

Wer früher ein Dokument per E-Mail angefordert hat: Diese Angaben (E-Mail-Adresse, Kampagnenparameter und ein gekürzter, anonymisierter IP-Hash) löschen wir spätestens 24 Monate nach der Anforderung.

Speicherdauer: Nicht bestätigte Anmeldungen löschen wir nach 30 Tagen. Bestätigte Abonnements speichern wir bis zu Ihrer Abmeldung. Diese Daten geben wir nicht an Dritte zu Werbezwecken weiter.

12. Änderungen

Wir behalten uns vor, diese Datenschutzerklärung jederzeit anzupassen. Die aktuelle Version ist stets auf dieser Seite einsehbar. Bei wesentlichen Änderungen informieren wir registrierte Nutzer per E-Mail.