Datenschutzhinweis

Datenschutzhinweis zur Verarbeitung personenbezogener Daten

von Plank Italy S.p.a. società benefit

Digitale Plattform und mobile Anwendungen

Letzte Aktualisierung: 27. März 2026

Dieser Hinweis beschreibt, wie Plank Italy S.p.a. società benefit („Plank“, „die Gesellschaft“ oder „wir“) personenbezogene Daten erhebt, nutzt und schützt, die im Rahmen der Bereitstellung der digitalen Plattform Plank, der mobilen Anwendungen und der damit verbundenen technologischen Dienste (zusammenfassend die „Dienste“) verarbeitet werden.

Plank entwickelt und betreibt eine Softwareplattform, die hauptsächlich für Geschäftskunden bestimmt ist, wie Energieversorger und andere Organisationen, die die Plattform zur Verwaltung ihrer eigenen Dienste und Beziehungen mit ihren Nutzern oder Kunden verwenden. Die Nutzung der Plattform kann über Weboberflächen oder über mobile Anwendungen erfolgen, die über digitale Stores vertrieben werden.

Dieser Hinweis wird auf der Plattform veröffentlicht und den Nutzern beim ersten Zugang oder bei der Registrierung vorgelegt. Er ist jederzeit im Bereich „Datenschutz – Rechtliche Dokumente“ des Portals und der mobilen Anwendungen zugänglich.

Dieser Hinweis dient dazu, den Nutzern klare und transparente Informationen über die Verarbeitung personenbezogener Daten zu geben, die Plank als eigenständiger Verantwortlicher durchführt, in Übereinstimmung mit der Verordnung (EU) 2016/679 („DSGVO“) und den geltenden Datenschutzvorschriften.

1. Verantwortlicher für die Datenverarbeitung

Verantwortlicher für die Datenverarbeitung ist Plank Italy S.p.a. società benefit, mit Sitz in Sestiere Santa Croce 466/B, 30135 Venedig (Italien), Steuernummer und MwSt.-Nr. 04545400279.

Für Anfragen oder Informationen zur Verarbeitung personenbezogener Daten kann die Gesellschaft unter folgenden Kontaktdaten erreicht werden:

• E-Mail: gdpr@plank.global
• Post: Plank Italy S.p.a. – Datenschutzbeauftragter – Sestiere Santa Croce 466/B, 30135 Venedig (VE)

2. Datenschutzbeauftragter (DSB)

Plank Italy S.p.a. hat einen Datenschutzbeauftragten (Data Protection Officer – DPO) gemäß Art. 37 DSGVO bestellt, unter Berücksichtigung der Art, des Umfangs und der Zwecke der Verarbeitungen, die als Auftragsverarbeiter im Auftrag zahlreicher Geschäftskunden in großem Maßstab durchgeführt werden.

Der DSB ist unter folgenden Kontaktdaten erreichbar:

• E-Mail: dpo@plank.global (msavoldi@plank.global)
• Post: Plank Italy S.p.a. – Data Protection Officer – Sestiere Santa Croce 466/B, 30135 Venedig (VE)

Der DSB arbeitet unabhängig und kann von betroffenen Personen direkt zu jeder Frage in Bezug auf die Verarbeitung ihrer personenbezogenen Daten und die Ausübung ihrer Rechte kontaktiert werden.

3. Rolle von Plank im Rahmen der Dienste

Dieser Hinweis regelt ausschließlich die Verarbeitungen, die Plank als eigenständiger Verantwortlicher durchführt, d.h. die Verarbeitungen, die Plank für eigene Zwecke im Rahmen der technischen Verwaltung und Sicherheit der Plattform vornimmt. Er richtet sich an professionelle Nutzer, die im Auftrag der Geschäftskunden von Plank auf die Plattform zugreifen.

Verarbeitung als eigenständiger Verantwortlicher. Plank handelt als eigenständiger Verantwortlicher für Tätigkeiten, die eng mit der technischen Verwaltung und Sicherheit der Plattform verbunden sind, wie Benutzerauthentifizierung, Sitzungsverwaltung, technische Infrastrukturüberwachung, Verwaltung von Sicherheitsprotokollen, Verhinderung unbefugter Zugriffe oder Missbrauch sowie technische Wartung der Dienste.

Verarbeitung als Auftragsverarbeiter. Getrennt von Vorstehendem handelt Plank als Auftragsverarbeiter gemäß Art. 28 DSGVO, wenn personenbezogene Daten im Auftrag der Geschäftskunden verarbeitet werden, die als Verantwortliche für die Daten ihrer eigenen Nutzer oder Endkunden handeln. Für solche Verarbeitungen ist der Geschäftskunde für die Erfüllung der Informationspflichten gegenüber seinen Endnutzern verantwortlich.

Nutzer, die mit den Diensten eines Plank-Kunden über die Plattform interagieren, werden daher eingeladen, auch den Datenschutzhinweis des Kunden selbst zu konsultieren, der die Verarbeitung personenbezogener Daten im Rahmen der von ihm erbrachten Dienste regelt.

4. Arten der verarbeiteten personenbezogenen Daten

Im Rahmen der Bereitstellung der Dienste kann Plank als eigenständiger Verantwortlicher die folgenden Kategorien personenbezogener Daten der professionellen Nutzer verarbeiten, die im Auftrag der Geschäftskunden auf die Plattform zugreifen:

1. Identifikations- und Authentifizierungsdaten: Kontokennungen, Zugangsberechtigungen und Sitzungsdaten, die erforderlich sind, um einen sicheren Zugang zur Plattform zu ermöglichen.
2. Berufliche Profildaten: Vorname, Nachname, berufliche E-Mail-Adresse, Organisationszugehörigkeit, Funktion oder Rolle.
3. Betriebs- und Dienstdaten: Informationen zur Verwaltung von Supportanfragen, betriebliche Kommunikation, von Nutzern hochgeladene Dokumente oder Anhänge oder andere Inhalte, die für die Funktionen der Plattform erforderlich sind.
4. Technische und Diagnosedaten: IP-Adresse, Gerätetyp, Betriebssystem, Anwendungsversion, Sitzungskennungen, technische Protokolle und Diagnosedaten, die für die Überwachung und den ordnungsgemäßen Betrieb der Systeme erforderlich sind.
5. Daten zur Nutzung der mobilen Anwendung: Bei der Nutzung mobiler Anwendungen können bestimmte Funktionen den Zugriff auf die Kamera, die Fotobibliothek oder lokale Dateien erfordern, ausschließlich um die Nutzung der entsprechenden Funktionen zu ermöglichen.

Biometrische Daten

Sofern die Anwendung die Nutzung biometrischer Systeme des Geräts (z.B. Gesichtserkennung oder Fingerabdruck) zur Erleichterung des Zugangs zur Benutzersitzung ermöglicht, werden solche Mechanismen ausschließlich vom Betriebssystem des Geräts verwaltet. Plank speichert, erhebt und verarbeitet keine biometrischen Vorlagen.

Biometrische Daten sind besondere Kategorien von Daten gemäß Art. 9 DSGVO. Da ihre Verarbeitung vollständig auf dem Gerät des Nutzers über die APIs des Betriebssystems erfolgt und Plank keinen Zugang zu diesen Daten hat, ist die anwendbare Rechtsgrundlage die ausdrückliche Einwilligung des Nutzers, die über die Einstellungen seines Geräts erteilt wird (Art. 9 Abs. 2 lit. a DSGVO).

Daten der Endkunden der Geschäftskunden

Im Rahmen der Nutzung der Plattform durch Geschäftskunden können auch personenbezogene Daten der Endkunden solcher Kunden verarbeitet werden. In solchen Fällen handelt der Geschäftskunde als Verantwortlicher gemäß Art. 4 Abs. 7 DSGVO, während Plank als Auftragsverarbeiter gemäß Art. 28 DSGVO handelt, beschränkt auf die Bereitstellung der Plattform und der damit verbundenen technologischen Dienste.

5. Zwecke und Rechtsgrundlagen der Verarbeitung

Personenbezogene Daten, für die Plank eigenständiger Verantwortlicher ist, werden für die folgenden Zwecke und auf den folgenden Rechtsgrundlagen verarbeitet:

5.1 Authentifizierung und Zugang zur Plattform

Zweck: Ermöglichung der Benutzerauthentifizierung, Sitzungsverwaltung und Nutzung der Funktionen der Plattform.

Rechtsgrundlage: Erfüllung des Vertrags über die Bereitstellung der Dienste zwischen Plank und dem Geschäftskunden, in dessen Rahmen professionelle Nutzer zum Zugang zur Plattform berechtigt sind (Art. 6 Abs. 1 lit. b DSGVO).

Datenbereitstellung: erforderlich für den Zugang zur Plattform. Ohne diese Daten ist die Nutzung der Dienste nicht möglich.

5.2 Technische Verwaltung, Sicherheit und Missbrauchsprävention

Zweck: technische Verwaltung der Plattform, Wartung, Systemüberwachung, Erkennung von Anomalien oder Schwachstellen, Prävention von IT-Vorfällen, Verhinderung unbefugter Zugriffe oder Missbrauch, Verteidigung der Rechte der Gesellschaft bei missbräuchlicher oder nicht konformer Nutzung, Sicherheitsaudits.

Rechtsgrundlage: berechtigtes Interesse von Plank gemäß Art. 6 Abs. 1 lit. f DSGVO, bestehend in der Gewährleistung der Sicherheit, Integrität und Zuverlässigkeit seiner digitalen Dienste, dem Schutz der Daten seiner Kunden und Nutzer vor unbefugtem Zugriff, Betrug oder Missbrauch sowie der Sicherstellung der Betriebskontinuität der Plattform. Plank hat eine Abwägung zwischen seinen berechtigten Interessen und den Grundrechten und Grundfreiheiten der betroffenen Personen vorgenommen und ist zu dem Ergebnis gekommen, dass diese Interessen nicht überwiegend nachteilig für die betroffenen Personen sind, da die für diese Zwecke verarbeiteten Daten technische Systemdaten und keine sensiblen oder inhaltlichen Daten sind.

Datenbereitstellung: Die Verarbeitung ist für den technischen Betrieb der Plattform erforderlich und unterliegt nicht der Wahl des Nutzers. Der Nutzer hat dennoch das Recht, gemäß Art. 21 DSGVO zu widersprechen (vgl. Abschnitt 10).

5.3 Erfüllung rechtlicher Verpflichtungen

Zweck: Erfüllung gesetzlicher Verpflichtungen oder Beantwortung von Anfragen zuständiger Behörden, soweit solche Verpflichtungen aus den geltenden Rechtsvorschriften erwachsen.

Rechtsgrundlage: Erfüllung einer rechtlichen Verpflichtung, der der Verantwortliche unterliegt (Art. 6 Abs. 1 lit. c DSGVO).

Datenbereitstellung: gesetzlich vorgeschrieben. Die Nichtbereitstellung kann dazu führen, dass Plank seinen regulatorischen Verpflichtungen nicht nachkommen kann.

5.4 Aggregierte statistische Analysen

Zweck: In aggregierter und nicht identifizierbarer Form können bestimmte Informationen über die Nutzung der Plattform für statistische Analysen und zur Verbesserung der Leistung, Sicherheit und Qualität der angebotenen Dienste verwendet werden.

Rechtsgrundlage: berechtigtes Interesse von Plank an der Verbesserung der Qualität und Leistung seiner Dienste (Art. 6 Abs. 1 lit. f DSGVO). Da die Daten ausschließlich in aggregierter und anonymer Form verarbeitet werden, ist die Auswirkung auf die Rechte und Freiheiten der betroffenen Personen vernachlässigbar.

Plank verwendet die über die Plattform erhobenen Daten nicht für verhaltensbasierte Werbung oder kommerzielle Profilierung.

6. Automatisierte Entscheidungsfindung und Profiling

Plank führt keine automatisierte Entscheidungsfindung einschließlich Profiling durch, die rechtliche Wirkung entfaltet oder die betroffenen Personen in ähnlicher Weise erheblich beeinträchtigt im Sinne von Art. 22 DSGVO.

Die automatisierten Überwachungssysteme der Plattform (z.B. Erkennung von Zugangsanomalien) werden ausschließlich zu Zwecken der technischen Sicherheit eingesetzt und erzeugen keine automatisierten Einzelentscheidungen mit Auswirkungen auf betroffene Personen. Jede Entscheidung, die Nutzer betreffen kann, wird unter menschlicher Beteiligung getroffen.

Sollten künftig automatisierte Entscheidungsverfahren im Sinne von Art. 22 DSGVO eingeführt werden, wird dieser Hinweis entsprechend aktualisiert und den betroffenen Personen werden die von den geltenden Rechtsvorschriften vorgesehenen ergänzenden Informationen zur Verfügung gestellt.

7. Weitergabe personenbezogener Daten

Im Rahmen der oben beschriebenen Zwecke können personenbezogene Daten den folgenden Empfängern zugänglich gemacht oder mitgeteilt werden:

• Autorisiertes Personal von Plank, das auf der Grundlage spezifischer Anweisungen und unter Einhaltung der Vertraulichkeitspflichten tätig ist.
• Technische Dienstleister (Unterauftragsverarbeiter gemäß Art. 28 DSGVO), wie Cloud-Infrastrukturanbieter, Hosting-Dienste, Überwachungs- und Protokollierungstools, technische Support-Dienste. Diese Stellen sind auf der Grundlage spezifischer vertraglicher Vereinbarungen tätig, die Verarbeitungsanweisungen, anwendbare Sicherheitsmaßnahmen und Datenmanagementverfahren regeln.
• Geschäftskunden von Plank, die im Rahmen ihrer vertraglichen Beziehung mit den Nutzern auf deren personenbezogene Daten zugreifen können.
• Öffentliche Stellen oder zuständige Behörden, wenn dies gesetzlich oder durch behördliche Anordnungen vorgeschrieben ist.

Plank verkauft oder überträgt keine personenbezogenen Daten an Dritte zu kommerziellen Zwecken.

8. Internationale Datenübermittlungen

Einige technische Dienstleister, die für die Bereitstellung der Plattform eingesetzt werden, haben ihren Sitz oder verarbeiten Daten außerhalb des Europäischen Wirtschaftsraums (EWR), insbesondere in den Vereinigten Staaten von Amerika. Übermittlungen personenbezogener Daten in Drittländer erfolgen unter Einhaltung der in den geltenden Rechtsvorschriften vorgesehenen Garantien, insbesondere durch:

• Standardvertragsklauseln (SCCs), die von der Europäischen Kommission mit Durchführungsbeschluss (EU) 2021/914 vom 4. Juni 2021 genehmigt wurden;
• etwaige Angemessenheitsbeschlüsse der Europäischen Kommission für bestimmte Drittländer.

Auf Anfrage kann Plank betroffenen Personen eine Kopie der für internationale Übermittlungen getroffenen Garantien zur Verfügung stellen. Anfragen können an gdpr@plank.global gesendet werden.

9. Datenspeicherung

Personenbezogene Daten werden für den Zeitraum aufbewahrt, der erforderlich ist, um die Zwecke zu erfüllen, für die sie erhoben wurden, und um den geltenden vertraglichen und regulatorischen Verpflichtungen nachzukommen. Die spezifischen Aufbewahrungsfristen für jede Datenkategorie sind wie folgt:

Datenkategorie	Zeitraum	Kriterium
Konto- und berufliche Profildaten	Dauer des Verhältnisses + 12 Monate	Erforderlich für die Vertragsverwaltung und die Beilegung etwaiger Streitigkeiten.
Technische Zugangs- und Authentifizierungsprotokolle	12 Monate	Verhältnismäßig zu den Anforderungen der IT-Sicherheit und Anomalieerkennung.
Sicherheitsprotokolle und Audit Trail	24 Monate	Erforderlich für Untersuchungen von Sicherheitsvorfällen und Compliance-Audits.
Betriebsdaten und hochgeladene Dokumente	Dauer des Vertrags mit dem Geschäftskunden + 30 Tage	Erforderlich für die Diensterbringung; werden nach Ende des Verhältnisses gelöscht.

Nach Ablauf der Aufbewahrungsfrist werden personenbezogene Daten gelöscht oder unwiderruflich anonymisiert.

10. Datensicherheit

Plank trifft angemessene technische und organisatorische Maßnahmen, um den Schutz der über die Plattform verarbeiteten personenbezogenen Daten zu gewährleisten. Diese Maßnahmen umfassen unter anderem Zuganuskontrollsysteme, Kommunikationsschutz, Systemüberwachung, rollenbasierte Berechtigungsverwaltung sowie Backup- und Geschäftskontinuitätsverfahren.

Trotz Anwendung angemessener technischer und organisatorischer Maßnahmen in Bezug auf die Art der verarbeiteten Daten und die damit verbundenen Risiken kann Plank nicht garantieren, dass kein IT-System oder keine Datenübertragung über das Internet völlig risikofrei ist. Die Gesellschaft verfügt daher über laufende Überwachungs- und Aktualisierungsverfahren seiner Sicherheitsmaßnahmen, um die Risiken unbefugter Zugriffe, des Verlusts oder der Offenlegung von Daten zu verringern.

11. Rechte der betroffenen Personen

Betroffene Personen können die folgenden Rechte ausüben, die in den Datenschutzvorschriften vorgesehen sind:

• Auskunftsrecht (Art. 15 DSGVO): Bestätigung darüber zu erhalten, ob personenbezogene Daten verarbeitet werden, und gegebenenfalls Zugang zu den Daten und den Informationen über die Verarbeitung zu erhalten.
• Recht auf Berichtigung (Art. 16 DSGVO): die Berichtigung unrichtiger personenbezogener Daten oder die Vervollständigung unvollständiger Daten zu verlangen.
• Recht auf Löschung (Art. 17 DSGVO): die Löschung personenbezogener Daten in den gesetzlich vorgesehenen Fällen zu verlangen („Recht auf Vergessenwerden“).
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO): die Einschränkung der Verarbeitung in den gesetzlich vorgesehenen Fällen zu verlangen.
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO): die eigenen personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten und sie einem anderen Verantwortlichen zu übermitteln, sofern die Verarbeitung auf Vertrag oder Einwilligung beruht und mithilfe automatisierter Verfahren erfolgt.
• Widerspruchsrecht (Art. 21 DSGVO): jederzeit aus Gründen, die sich aus der besonderen Situation der betroffenen Person ergeben, gegen die Verarbeitung ihrer personenbezogenen Daten auf der Grundlage des berechtigten Interesses des Verantwortlichen (Art. 6 Abs. 1 lit. f DSGVO) Widerspruch einzulegen. Insbesondere können betroffene Personen den in den Abschnitten 5.2 und 5.4 beschriebenen Verarbeitungen widersprechen. Der Verantwortliche behält sich das Recht vor, dem Widerspruch nicht nachzukommen, wenn zwingende schutzwürdige Gründe vorliegen, die die Interessen, Rechte und Freiheiten der betroffenen Person überwiegen, oder wenn die Verarbeitung der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dient.

Widerruf der Einwilligung

Sofern die Verarbeitung auf der Einwilligung der betroffenen Person beruht (insbesondere für die Nutzung biometrischer Systeme des Geräts über die Geräteeinstellungen), hat die betroffene Person das Recht, ihre Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird. Der Widerruf der Einwilligung in Bezug auf biometrische Systeme kann direkt über die Geräteeinstellungen erfolgen.

Um etwaige im Rahmen der Nutzung der Plattform erteilte Einwilligungen zu widerrufen, wenden Sie sich bitte an Plank unter gdpr@plank.global.

Ausübung der Rechte und Antwortfristen

Anfragen zur Ausübung der Rechte können an Plank unter gdpr@plank.global oder per Post an Plank Italy S.p.a., Sestiere Santa Croce 466/B, 30135 Venedig (VE) gesendet werden.

Plank beantwortet Anfragen innerhalb eines Monats nach Eingang. Bei besonders komplexen oder zahlreichen Anfragen kann diese Frist um weitere zwei Monate verlängert werden, wobei die betroffene Person innerhalb des ersten Monats unter Angabe der Gründe für die Verlängerung informiert wird (Art. 12 Abs. 3 DSGVO).

Sofern Plank personenbezogene Daten im Auftrag eines Geschäftskunden verarbeitet, der als Verantwortlicher handelt, können Anfragen auch an diesen Kunden gerichtet oder von Plank an den zuständigen Verantwortlichen weitergeleitet werden.

12. Pflicht zur Datenbereitstellung

Für bestimmte Zwecke ist die Bereitstellung der Daten erforderlich und die Folgen der Nichtbereitstellung sind wie folgt:

Zweck	Art der Bereitstellung	Folgen der Nichtbereitstellung
Authentifizierung und Zugang zur Plattform	Vertraglich	Unmöglichkeit des Zugangs zur Plattform und den Diensten.
Technische Verwaltung und Systemsicherheit	Erforderlich für die Vertragserfüllung / Berechtigtes Interesse	Die Verarbeitung ist dem technischen Betrieb der Plattform inhärent; die Nichtbereitstellung dieser Daten würde bedeuten, dass die Dienste nicht genutzt werden können.
Erfüllung rechtlicher Verpflichtungen	Gesetzliche Verpflichtung	Unmöglichkeit für Plank, seinen regulatorischen Verpflichtungen nachzukommen.
Aggregierte statistische Analysen	Berechtigtes Interesse	Keine unmittelbaren Folgen für den Nutzer.

13. Beschwerderecht

Betroffene Personen haben das Recht, Beschwerde bei der zuständigen Aufsichtsbehörde für den Schutz personenbezogener Daten oder bei einer anderen zuständigen Aufsichtsbehörde einzulegen, wenn sie der Ansicht sind, dass die Verarbeitung personenbezogener Daten gegen die geltenden Rechtsvorschriften verstößt.

Garante per la Protezione dei Dati Personali (Italien):

• Adresse: Piazza Venezia 11, 00187 Rom
• Telefon: +39 06 69677 1
• E-Mail: garante@gpdp.it
• Website: www.gpdp.it

Alternativ kann sich die betroffene Person an die Aufsichtsbehörde des EU-Mitgliedstaats wenden, in dem sie ihren gewöhnlichen Aufenthalt hat, arbeitet oder in dem der mutmaßliche Verstoß stattgefunden hat.

14. Änderungen dieses Hinweises

Dieser Hinweis kann regelmäßig aktualisiert werden, um etwaige Änderungen der Dienste, gesetzliche Entwicklungen oder Änderungen in der Art der Verarbeitung personenbezogener Daten zu berücksichtigen. Die aktualisierte Fassung wird auf der Plattform veröffentlicht und das Datum der letzten Aktualisierung sowie die Versionsnummer angeben.

Sollten die Änderungen im Sinne von Art. 13 DSGVO wesentlich sein, wird Plank die Nutzer mit einer Frist von mindestens 30 Tagen benachrichtigen, per In-App-Benachrichtigung oder per E-Mail an die mit dem Konto verknüpfte Adresse. Die weitere Nutzung der Dienste nach diesem Zeitraum stellt eine Kenntnisnahme der vorgenommenen Änderungen dar.

Frühere Fassungen des Hinweises werden von der Gesellschaft zu Zwecken der Rechenschaftspflicht gemäß Art. 5 Abs. 2 DSGVO aufbewahrt und sind auf Anfrage verfügbar.