Datenschutzerklärung
1. Verantwortlicher
Verantwortlich für die Datenverarbeitung im Zusammenhang mit der Website www.umplan.de, der Web-Anwendung umplan und der optionalen Android-App ist:
IT Onkel Felix Krüger
Inhaber: Felix Krüger
Tilsitstr. 1
23569 Lübeck
Deutschland
E-Mail: service@it-onkel.com
Telefon: 015906808716
Ein Datenschutzbeauftragter ist derzeit nicht benannt.
2. Allgemeine Hinweise
Wir verarbeiten personenbezogene Daten nur, soweit dies für die Bereitstellung unserer Website, unserer Dienste und Funktionen erforderlich ist oder du eingewilligt hast.
umplan ist ein Organisationswerkzeug für getrenntlebende Eltern. Die Anwendung dient insbesondere der Organisation von Umgangszeiten, Familienkalendern, Anträgen, Protokollen, Benachrichtigungen, Einladungen, Kalenderfeeds, Umgangsvereinbarungen und optionalen kostenpflichtigen Pro-Funktionen.
3. Welche Daten wir verarbeiten
Je nach Nutzung verarbeiten wir insbesondere folgende Daten:
Kontodaten und Stammdaten
E-Mail-Adresse, Anzeigename, Passwort-Hash, Rolle, Familienzuordnung, Familienrolle, Aktivstatus, E-Mail-Verifizierungsstatus und Zeitpunkt des letzten Logins.
Familiendaten und Kinddaten
Familienname, Familienzuordnung, Elternrollen, Zuordnung residenter und besuchender Elternteile, Namen von Kindern, Verknüpfungen von Kindern mit Nutzerkonten und Aktiv-/Deaktivierungsstatus.
Setup- und Onboardingdaten
Angaben zur Familienkonfiguration, Elternrollen, Kindern, Fristen, Zeitfenstern und Benachrichtigungseinstellungen.
Einladungsdaten
Einladungstoken, eingeladene E-Mail-Adresse, Rolle, Ablaufzeitpunkt, Nutzungszeitpunkt, Ersteller der Einladung, Zuordnungen zu Kindern und vorläufige Benachrichtigungspräferenzen.
Authentifizierungs- und Sicherheitsdaten
Session-Cookies, CSRF-Token, gehashte Verifizierungs- und Reset-Token, Ablaufzeiten, IP-Adresse und User-Agent bei Passwort-Reset-Anfragen sowie last_login_at.
Kalender-, Umgangs- und Regeldaten
Termine, Start- und Endzeiten, Kind-Zuordnungen, Elternteil-Zuordnungen, Sperrungen, Absagen, Regeln, Wiederholungen, Ausnahmen, Blockregeln und Terminserien.
Antrags- und Konfliktdaten
Änderungsanträge, Sperranträge, Absageanträge, Nachholblöcke, Gruppierungen, Begründungen, Status, Fristen, Widersprüche, Entscheidungen und Gegenanträge.
Protokoll- und Dokumentationsdaten
Notizen, Abhol- und Rückgabezeiten, Sichtbarkeiten, Gegendarstellungen, Abweichungskennzeichen sowie Dateiuploads und Dateimetadaten.
Agreement-Flow-Daten
Im öffentlichen Flow zur Vorbereitung einer Umgangsvereinbarung verarbeiten wir insbesondere E-Mail-Adresse, Elternnamen, Kindernamen, Rollenfestlegungen, Regeln, Notizen, die vollständige Agreement-Payload, Aktivierungsstatus, Aktivierungs- und Ablaufzeitpunkte, gehashte IP-Adressen, User-Agent, gehashte Aktivierungstoken und Audit-Ereignisse.
Benachrichtigungs-, E-Mail- und Push-Daten
Benachrichtigungspräferenzen, E-Mail-Queue-Daten, Versandstatus, Provider-IDs, Push-Endpunkte, Push-Token, Geräteinformationen und technische Zustandsdaten.
Zahlungs- und Abo-Daten
Bei Pro-Abonnements verarbeiten wir insbesondere Tarif, Status, Stripe-Customer-ID, Stripe-Subscription-ID, Preis-ID, Checkout-Session-ID, Laufzeitdaten und Kündigungsstatus.
4. Zwecke der Verarbeitung
Wir verarbeiten personenbezogene Daten insbesondere zu folgenden Zwecken:
- Bereitstellung von Website, Web-App und Android-App
- Registrierung, Anmeldung und Kontoverwaltung
- Familienverwaltung und Organisation von Umgangszeiten
- Kalenderdarstellung, Regeln, Terminserien und Änderungen
- Bearbeitung und Dokumentation von Anträgen
- Protokollierung tatsächlicher Abläufe und Abweichungen
- Versand von E-Mails und Push-Benachrichtigungen
- Einladung weiterer Personen
- Bereitstellung von Kalenderfeeds
- Erstellung von PDF- und CSV-Exporten
- Vorbereitung von Umgangsvereinbarungen
- Abwicklung kostenpflichtiger Pro-Abonnements
- Systemsicherheit, Fehleranalyse, Missbrauchsverhinderung und Nachvollziehbarkeit
5. Rechtsgrundlagen
Wir verarbeiten personenbezogene Daten insbesondere auf Grundlage von:
Art. 6 Abs. 1 lit. b DSGVO
wenn die Verarbeitung zur Durchführung des Nutzungsverhältnisses oder zur Durchführung vorvertraglicher Maßnahmen erforderlich ist.
Art. 6 Abs. 1 lit. c DSGVO
wenn wir rechtlich verpflichtet sind, Daten aufzubewahren oder nachzuweisen.
Art. 6 Abs. 1 lit. f DSGVO
wenn wir ein berechtigtes Interesse an der sicheren, stabilen und nachvollziehbaren Bereitstellung unserer Dienste haben, etwa bei IT-Sicherheit, Missbrauchsverhinderung, Fehleranalyse oder Audit-Logs.
Art. 6 Abs. 1 lit. a DSGVO
wenn du ausdrücklich eingewilligt hast, insbesondere bei der Nutzung von Google Analytics auf der Website oder bei geräte- bzw. browserseitig freigegebenen Push-Benachrichtigungen.
6. Hosting und Serverbetrieb
Website, Web-App und App-nahe Dienste werden von uns selbst auf Servern in Deutschland betrieben. Ein externer Hosting-Dienstleister wird hierfür nach deinen Angaben nicht eingesetzt.
Beim Aufruf unserer Website und unserer Dienste werden aus technischen Gründen Verbindungs- und Serverdaten verarbeitet. Dazu können insbesondere IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Inhalte, Browsertyp, Betriebssystem, Referrer und ähnliche technische Informationen gehören.
Die Verarbeitung erfolgt zur sicheren und funktionsfähigen Bereitstellung unserer Dienste auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO.
7. Registrierung, Login und Nutzerkonto
Wenn du ein Nutzerkonto anlegst oder nutzt, verarbeiten wir deine Kontodaten, um die Anmeldung, E-Mail-Verifizierung, Familienzuordnung, Rollenvergabe und die Nutzung der Anwendung zu ermöglichen.
Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO.
8. Familienverwaltung, Kinderdaten und Umgangsorganisation
Innerhalb von umplan verarbeiten wir die von dir eingegebenen Familien-, Kinder-, Kalender-, Regel- und Antragsdaten, damit du Umgangszeiten planen, Änderungen dokumentieren und die Organisation innerhalb deiner Familie nachvollziehbar verwalten kannst.
Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO.
9. Öffentlicher Flow zur Vorbereitung einer Umgangsvereinbarung
Wenn du den öffentlichen Flow zur Vorbereitung einer Umgangsvereinbarung nutzt, verarbeiten wir die dort eingegebenen Daten, um die Vereinbarung vorzubereiten, ein PDF zu erzeugen, einen Aktivierungsprozess zu ermöglichen und Missbrauch zu verhindern.
Die Verarbeitung erfolgt je nach Nutzungssituation auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO und Art. 6 Abs. 1 lit. f DSGVO.
Nicht aktivierte Vorgänge aus diesem Bereich speichern wir für 30 Tage und löschen sie danach, soweit keine gesetzlichen oder berechtigten Gründe für eine längere Speicherung bestehen.
10. Einladungen
Wenn innerhalb von umplan Einladungen versendet werden, verarbeiten wir insbesondere die E-Mail-Adresse der eingeladenen Person, ihre vorgesehene Rolle, das Einladungstoken und technische Begleitdaten, um die Einladung auszusprechen, ihren Status zu verwalten und die spätere Annahme zu ermöglichen.
Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO und Art. 6 Abs. 1 lit. f DSGVO.
Offene Einladungen speichern wir grundsätzlich bis zum Ablauf der Einladung und darüber hinaus für bis zu 12 Monate, soweit dies zur Nachvollziehbarkeit und Missbrauchsverhinderung erforderlich ist.
11. E-Mail-Kommunikation
Wir nutzen einen eigenen Server für den Versand transaktionaler E-Mails. Dabei verarbeiten wir insbesondere Empfängeradresse, Empfängername, Betreff, Text- und HTML-Inhalte, Anhänge, technische Header, Versandzeitpunkte, Statusinformationen und Fehlerdaten.
Die Verarbeitung erfolgt zur Zustellung von System- und Funktionsmails, etwa zur Kontoaktivierung, für Einladungen, Passwort-Reset, Benachrichtigungen und systembezogene Informationen, auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO sowie ergänzend Art. 6 Abs. 1 lit. f DSGVO.
Versand- und Fehlerprotokolle speichern wir grundsätzlich für bis zu 3 Jahre, soweit sie zur Zustellbarkeit, Fehleranalyse, Missbrauchsverhinderung oder Rechtsverteidigung erforderlich sind.
12. Push-Benachrichtigungen
Web Push
Wenn du Web Push aktivierst, verarbeiten wir insbesondere Push-Endpunkt, Push-Schlüssel, Plattform, User-Agent, Gerätebezeichnung, Aktivstatus und technische Zustandsdaten, um Benachrichtigungen an deinen Browser zu senden.
Android Push
Für native Android-Push-Benachrichtigungen verwenden wir Firebase Cloud Messaging (FCM). Google beschreibt Firebase im DSGVO-Kontext grundsätzlich als Auftragsverarbeiter und stellt hierfür Datenverarbeitungsbedingungen bereit. FCM dient der Zustellung von Nachrichten an Geräte.
Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO, soweit Push Teil der genutzten Funktion ist, sowie ergänzend auf Grundlage von Art. 6 Abs. 1 lit. a DSGVO, soweit dein Gerät oder Browser eine gesonderte Freigabe verlangt.
Push-Token und Push-Endpunkte speichern wir grundsätzlich bis zur Deaktivierung, Abmeldung, technischen Ungültigkeit oder Löschanfrage; inaktive oder fehlerhafte Tokens werden spätestens nach 12 Monaten ohne erfolgreiche Nutzung bereinigt.
13. Zahlungsabwicklung und Pro-Abonnements
Für kostenpflichtige Pro-Funktionen nutzen wir Stripe für Checkout, Kundenportal und Aboverwaltung. Dabei können insbesondere E-Mail-Adresse, Name, Vertrags- und Zahlungsdaten sowie abonnementsbezogene Metadaten an Stripe übermittelt werden. Stripe stellt hierfür ein Data Processing Agreement bereit und beschreibt internationale Datenübermittlungen insbesondere über den Data Privacy Framework-Mechanismus und ergänzend über Standardvertragsklauseln.
Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO sowie für gesetzliche Aufbewahrungspflichten auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO.
Abrechnungs- und steuerrelevante Unterlagen speichern wir entsprechend den gesetzlichen Aufbewahrungspflichten in der Regel 6 bis 10 Jahre.
14. Kalenderfeeds
Wir bieten tokenbasierte ICS-Kalenderfeeds an. Diese Feed-URLs funktionieren ohne Login über das jeweilige Token. Das Token ist deshalb wie ein Zugangsgeheimnis zu behandeln. Über den Feed können Umgangstermine und zugehörige Kind- und Terminbezüge offengelegt werden.
Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO.
Widerrufene oder ersetzte Feed-Tokens speichern wir grundsätzlich noch für bis zu 12 Monate, soweit dies zur technischen Nachvollziehbarkeit und Missbrauchsverhinderung erforderlich ist.
15. Dateiuploads und Protokolle
Im Rahmen von Protokollen können Dateien hochgeladen werden. Dabei verarbeiten wir die Datei selbst sowie Metadaten wie Originalname, gespeicherter Dateiname, MIME-Type, Dateigröße und Hash-Wert. Dateien werden serverseitig im Dateisystem gespeichert und nur nach serverseitiger Sichtbarkeitslogik berechtigten Personen zugänglich gemacht.
Protokolle können nach deinen Angaben nicht durch Nutzer gelöscht werden. Entsprechend bleiben Protokolle und die dazugehörigen Dateiuploads grundsätzlich Bestandteil der laufenden Familiendokumentation, bis eine Löschung der zugehörigen Daten wirksam verlangt und rechtlich möglich ist.
Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO.
16. Audit- und Protokolldaten
Zur Nachvollziehbarkeit wesentlicher Vorgänge speichern wir Audit- und Protokolldaten. Dazu können insbesondere family_id, actor_user_id oder user_id, entity_type, entity_id, action sowie Vorher-/Nachher-Daten oder Metadaten gehören.
Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der Integrität, Sicherheit, Nachvollziehbarkeit und Missbrauchsverhinderung innerhalb des Systems.
Audit-Logs speichern wir grundsätzlich für bis zu 3 Jahre ab dem jeweiligen Vorgang, soweit nicht eine längere Aufbewahrung zur Rechtsverfolgung oder Rechtsverteidigung erforderlich ist.
17. Cookies, Browser-Speicher und Offline-Funktionen
Wir verwenden technisch notwendige Session-Cookies für Anmeldung und Sitzungsverwaltung. Ohne diese Cookies kann die sichere Nutzung der Anwendung nicht zuverlässig bereitgestellt werden.
Im Agreement-Embed-Flow wird außerdem sessionStorage verwendet, um innerhalb derselben Browser-Sitzung einen einmaligen Scroll-Hinweis zu steuern.
Ein Service Worker kann Inhalte lokal im Browser-Cache speichern, damit die Anwendung schneller lädt und teilweise offline nutzbar ist. Besonders sensible Bereiche wie Authentifizierung, Billing, Push, Mail, Downloads und Logout sind vom Caching ausgenommen.
Die Verarbeitung erfolgt für technisch notwendige Speichertechniken auf Grundlage von § 25 Abs. 2 TDDDG sowie Art. 6 Abs. 1 lit. b oder lit. f DSGVO.
18. Google Tag Manager und Google Analytics auf der Website
Auf www.umplan.de verwenden wir Google Tag Manager und Google Analytics. Google Tag Manager ist ein Tag-Management-System, mit dem Tags auf einer Website verwaltet werden können. Google Analytics dient der Auswertung der Website-Nutzung. In Google Analytics werden nach den aktuellen Google-Hinweisen IP-Adressen von Nutzern aus der EU nicht protokolliert; sie werden vor der Protokollierung verworfen.
Google Analytics wird auf deiner Website nach deinen Angaben nur auf der Website, nicht in der App/Web-App, eingesetzt. Der Einsatz erfolgt ausschließlich nach erteilter Einwilligung über dein Consent-Banner. Rechtsgrundlage ist daher Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG.
19. jsDelivr auf der Kalender-Vorschauseite
Auf der Kalender-Vorschauseite wird FullCalendar über das CDN jsDelivr geladen. jsDelivr weist darauf hin, dass zur Auslieferung des CDN-Traffics Drittanbieter eingesetzt werden und diese Zugriff auf die IP-Adresse und weitere technische Informationen haben können.
Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO, soweit die Einbindung zur technisch sinnvollen Bereitstellung der Vorschauseite erforderlich ist.
20. Empfänger personenbezogener Daten
Personenbezogene Daten werden nur weitergegeben, wenn dies rechtlich zulässig und für die jeweilige Funktion erforderlich ist.
Empfänger können insbesondere sein:
- wir selbst als eigener Betreiber unserer Serverinfrastruktur in Deutschland,
- Stripe für Zahlungsabwicklung und Aboverwaltung,
- Google/Firebase für Android-Push über Firebase Cloud Messaging,
- Browser- bzw. Push-Infrastrukturen für Web Push,
- jsDelivr bzw. dort eingesetzte Infrastrukturpartner für die Auslieferung von CDN-Inhalten.
21. Drittlandübermittlungen
Bei einzelnen Diensten kann eine Übermittlung personenbezogener Daten in Drittländer, insbesondere in die USA, nicht ausgeschlossen werden.
Das betrifft insbesondere:
- Google im Zusammenhang mit Google Tag Manager, Google Analytics und Firebase. Google verweist für bestimmte Übermittlungen auf seine Zertifizierung nach dem EU-U.S. Data Privacy Framework, den UK Extension und den Swiss-U.S. DPF.
- Stripe, das ein DPA bereitstellt und internationale Datenübermittlungen über Data Privacy Framework und ergänzend über Standardvertragsklauseln beschreibt.
- jsDelivr bzw. dessen Infrastrukturpartner, soweit Inhalte über das CDN ausgeliefert werden.
Bitte beachte: Ob und in welchem Umfang diese Mechanismen im Einzelfall genügen, hängt auch von deiner konkreten Konfiguration und den jeweils akzeptierten Vertragsbedingungen ab.
22. Speicherdauer und Löschung
Soweit in dieser Datenschutzerklärung keine speziellere Frist genannt ist, gilt:
Wir speichern personenbezogene Daten grundsätzlich so lange, wie dies für die Bereitstellung und Nutzung von umplan erforderlich ist. Da Protokolle und Familiendokumentation nach deinem Konzept langfristig Bestandteil der Familienorganisation sein können, bleiben diese Daten grundsätzlich gespeichert, bis eine wirksame Löschung verlangt wird oder der Zweck endgültig entfällt.
Für Löschanfragen gilt: Nach deinen Vorgaben werden Daten grundsätzlich auf Anfrage gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten oder überwiegenden berechtigten Interessen entgegenstehen.
Zusätzlich gelten derzeit folgende Richtwerte:
- nicht aktivierte Agreement-Vorgänge: 30 Tage
- Passwort-Reset-Daten und Reset-Token: grundsätzlich maximal 30 Tage, meist deutlich kürzer
- offene Einladungen: bis Ablauf, danach bis zu 12 Monate
- Audit-Logs: bis zu 3 Jahre
- Mail-Logs: bis zu 3 Jahre
- widerrufene Feed-Tokens: bis zu 12 Monate
- Push-Tokens: bis Deaktivierung oder spätestens Bereinigung nach 12 Monaten Inaktivität
- steuer- und abrechnungsrelevante Daten: 6 bis 10 Jahre
23. Deine Rechte
Du hast im Rahmen der gesetzlichen Voraussetzungen insbesondere folgende Rechte:
- Auskunft nach Art. 15 DSGVO
- Berichtigung nach Art. 16 DSGVO
- Löschung nach Art. 17 DSGVO
- Einschränkung der Verarbeitung nach Art. 18 DSGVO
- Datenübertragbarkeit nach Art. 20 DSGVO
- Widerspruch nach Art. 21 DSGVO
- Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft
- Beschwerde bei einer Datenschutz-Aufsichtsbehörde
Zur Ausübung deiner Rechte genügt eine Nachricht an: service@it-onkel.com.
24. Widerruf und Widerspruch
Soweit die Verarbeitung auf deiner Einwilligung beruht, kannst du diese jederzeit mit Wirkung für die Zukunft widerrufen.
Soweit wir Daten auf Grundlage berechtigter Interessen verarbeiten, kannst du der Verarbeitung aus Gründen widersprechen, die sich aus deiner besonderen Situation ergeben.
25. Datensicherheit
Wir treffen angemessene technische und organisatorische Maßnahmen, um personenbezogene Daten vor Verlust, Missbrauch, unbefugtem Zugriff, unbefugter Offenlegung oder unbefugter Veränderung zu schützen.
Dazu gehören insbesondere rollenabhängige Sichtbarkeitslogik, Token- und Sitzungsabsicherung, serverseitige Zugriffskontrollen, technische Schutzmaßnahmen im Authentifizierungsbereich sowie die Trennung besonders sensibler Funktionen von Offline- und Cache-Mechanismen.
26. Änderungen dieser Datenschutzerklärung
Wir behalten uns vor, diese Datenschutzerklärung anzupassen, wenn sich technische, rechtliche oder organisatorische Änderungen ergeben. Es gilt die jeweils auf unserer Website veröffentlichte Fassung.
Stand: 15.04.2026