Datenschutzerklärung

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

E-Mail: team@theprogrammanager.com

Einen Datenschutzbeauftragten haben wir nicht benannt, weil wir dazu gesetzlich nicht verpflichtet sind. Bei allen Datenschutzfragen schreib an die oben genannte E-Mail-Adresse.

Wir verarbeiten personenbezogene Daten nur, wenn eine Rechtsgrundlage besteht. Kurz gefasst:

• Besuch der Website oder des Blogs: technische Zugriffsdaten (Server-Logs) für Auslieferung und Sicherheit. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Speicherdauer: kurz, vom Hoster festgelegt.
• Konto und Workspace: Name, E-Mail-Adresse, Passwort-Hash und die Inhalte deines Workspaces, um den Dienst bereitzustellen, für den du dich registriert hast. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: bis zur Löschung des Kontos oder Workspaces.
• Abonnement und Zahlung: Rechnungsdaten und Abonnementstatus, verarbeitet von Stripe. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO und, für Buchführungsunterlagen, Art. 6 Abs. 1 lit. c DSGVO. Speicherdauer: gesetzliche Fristen von 6 bis 10 Jahren für Rechnungen und Buchungsunterlagen.
• Anbindung von Jira, Asana oder Slack: Wir lesen oder senden Daten nur auf deine Anweisung und handeln für diese Daten als dein Auftragsverarbeiter. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: bis du die Verbindung trennst oder den Workspace löschst.
• Anbindung eines KI-Clients über MCP: Daten, die du anforderst, gehen an diesen Client. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: Tokens bis zum Widerruf.
• Kontakt per E-Mail: Art. 6 Abs. 1 lit. b oder f DSGVO. Speicherdauer: bis die Angelegenheit erledigt ist.
• Cookie-Auswahl: gespeichert im Cookie cc_cookie. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG und Art. 6 Abs. 1 lit. c DSGVO. Speicherdauer: 6 Monate.
• Keine Statistik, keine Werbung und keine Tracking-Cookies. Wir nutzen nur Speicher, der unbedingt erforderlich ist, und der Consent-Manager lässt dich diese Auswahl jederzeit prüfen.

Die Website und die Web-App unter theprogrammanager.com werden mit Bolt.new (StackBlitz, Inc., USA) erstellt und von Netlify, Inc. (USA) über dessen Content-Delivery-Netzwerk ausgeliefert. Wenn du eine Seite aufrufst, sendet dein Browser technische Daten, die der Hoster verarbeitet und in Server-Logs festhält:

• IP-Adresse
• Datum und Uhrzeit der Anfrage
• angeforderte URL und HTTP-Methode
• Referrer-URL, sofern dein Browser sie sendet
• Browsertyp und -version (User-Agent) sowie Betriebssystem
• HTTP-Statuscode und übertragene Datenmenge

Zweck: Auslieferung der Seiten, stabiler und sicherer Betrieb sowie Erkennung und Abwehr von Angriffen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der sichere und zuverlässige Betrieb der Website. Wir verknüpfen Log-Daten nicht mit anderen Daten und nutzen sie nicht, um Besucher zu identifizieren. Der Hoster bewahrt die Logs nach seinen Einstellungen für einen begrenzten Zeitraum auf und löscht sie dann; Logs, die zur Untersuchung eines Sicherheitsvorfalls nötig sind, bleiben bis zu dessen Klärung gespeichert.

Netlify, Inc. hat ihren Sitz in den USA. Ist der Anbieter nach dem EU-U.S. Data Privacy Framework zertifiziert, beruht die Übermittlung auf dem Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO). Ergänzend oder, wenn keine Zertifizierung besteht, beruht die Übermittlung auf den EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) in den Auftragsverarbeitungsbedingungen des Anbieters.

Konten, Authentifizierung, die Datenbank und die Server-Funktionen der Web-App laufen bei Supabase (Supabase, Inc., USA): Supabase Auth, eine Postgres-Datenbank und Supabase Edge Functions. Supabase verarbeitet die Daten in unserem Auftrag auf Grundlage eines Auftragsverarbeitungsvertrags (Art. 28 DSGVO). Je nach Projektkonfiguration können die Server in der EU oder in den USA stehen.

Wir verarbeiten:

• Kontodaten: vollständiger Name, E-Mail-Adresse, Passwort (von Supabase Auth nur als gesalzener Hash gespeichert), Nutzer-ID, Zeitpunkte der Registrierung und der Anmeldungen.
• Technische Authentifizierungsdaten: Sitzungs-Tokens sowie IP-Adresse und User-Agent, die Supabase Auth bei Registrierung oder Anmeldung erfasst.
• Workspace-Daten: Name und Zeitzone des Workspaces, Mitgliedschaften und Rollen sowie die Inhalte, die du anlegst oder synchronisierst, etwa Programme, Projekte, Meilensteine, Abhängigkeiten, Blocker, Risiken, Entscheidungen, Szenarien, Freigabeanfragen und Berichte.
• Audit-Log: wer welche folgenreiche Aktion an welcher Ressource und wann ausgeführt hat.
• Metadaten der Anbindungen: welcher Anbieter verbunden ist, sein Status, die letzten vier Zeichen eines Schlüssels sowie Zeitstempel und Fehler des Syncs.

Konto-E-Mails, etwa der Link zur Bestätigung deiner E-Mail-Adresse, werden über den E-Mail-Dienst von Supabase Auth an die von dir eingegebene Adresse gesendet.

Zweck und Rechtsgrundlage: Bereitstellung des Dienstes im Rahmen unseres Vertrags mit dir oder deiner Organisation, Art. 6 Abs. 1 lit. b DSGVO. Das Audit-Log dient außerdem unserem berechtigten Interesse an Sicherheit und Nachvollziehbarkeit des Dienstes, Art. 6 Abs. 1 lit. f DSGVO.

Speicherdauer: Kontodaten werden gespeichert, bis du dein Konto löschst oder uns um Löschung bittest. Workspace-Daten werden gespeichert, bis der Workspace gelöscht wird. Einträge im Audit-Log bleiben bestehen, solange der Workspace existiert. Authentifizierungs-Logs bei Supabase werden nach dessen Einstellungen kurz aufbewahrt. Bestehen gesetzliche Aufbewahrungsfristen (zum Beispiel 6 oder 10 Jahre für Geschäfts- und Steuerunterlagen nach deutschem Handels- und Steuerrecht), schränken wir die Verarbeitung ein, statt zu löschen.

Supabase, Inc. hat ihren Sitz in den USA. Ist der Anbieter nach dem EU-U.S. Data Privacy Framework zertifiziert, beruht die Übermittlung auf dem Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO). Ergänzend oder, wenn keine Zertifizierung besteht, beruht die Übermittlung auf den EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) in den Auftragsverarbeitungsbedingungen des Anbieters.

Jeder Workspace braucht ein kostenpflichtiges Abonnement. Du startest es auf einer Stripe-Checkout-Seite, die Stripe hostet. Zahlungen werden von Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland, und Stripe, Inc., USA, abgewickelt. Stripe erhebt deine Zahlungsdaten, deine Rechnungsadresse und, wenn du sie eingibst, deine USt-IdNr. und berechnet die Steuern. Deine vollständige Kartennummer sehen oder speichern wir nie. Gibst du auf der Checkout-Seite einen Aktionscode ein, prüft Stripe ihn.

Von Stripe erhalten und speichern wir: die Stripe-Kunden-ID und die Abonnement-ID, den Tarif, den Abonnementstatus, das Ende des laufenden Abrechnungszeitraums, ob das Abonnement zur Kündigung vorgemerkt ist, sowie Rechnungen, soweit für die Buchführung nötig. Unsere Server-Funktionen sprechen mit Stripe, und Stripe sendet uns Statusänderungen über einen signierten Webhook.

Zweck und Rechtsgrundlage: Abschluss und Erfüllung des Abonnementvertrags, Art. 6 Abs. 1 lit. b DSGVO, sowie Erfüllung von Buchführungs- und Steuerpflichten, Art. 6 Abs. 1 lit. c DSGVO. Stripe handelt teils als unser Auftragsverarbeiter und für Betrugsprävention und eigene gesetzliche Pflichten als eigenständig Verantwortlicher; siehe die Datenschutzerklärung von Stripe unter stripe.com/privacy.

Speicherdauer: Abonnementdaten werden gespeichert, solange der Workspace existiert. Rechnungen und Buchungsunterlagen werden nach deutschem Handels- und Steuerrecht 6 oder 10 Jahre aufbewahrt.

Stripe, Inc. hat ihren Sitz in den USA. Ist der Anbieter nach dem EU-U.S. Data Privacy Framework zertifiziert, beruht die Übermittlung auf dem Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO). Ergänzend oder, wenn keine Zertifizierung besteht, beruht die Übermittlung auf den EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) in den Auftragsverarbeitungsbedingungen des Anbieters.

Ein Administrator deines Workspaces kann die folgenden Tools anbinden:

• Jira Cloud (Atlassian): Projekte, Issues, Status, Zuständige, Fälligkeiten und Issue-Verknüpfungen werden gelesen (nur lesend).
• Asana: Projekte, Aufgaben, Meilensteine, Zuständige, Erledigungs- und Fälligkeitsdaten werden gelesen (nur lesend).
• Slack: Eskalations- und Statusnachrichten werden in den Kanal deiner Wahl gepostet, und erst nachdem eine Person in deinem Workspace die genaue Nachricht freigegeben hat.

API-Schlüssel und Zugriffstokens werden einmal gesendet und serverseitig in einer Datenbanktabelle gespeichert, die der Browser nicht lesen kann; nur unsere Server-Funktionen nutzen sie, um den Anbieter aufzurufen. Wir rufen Daten nur auf deine Anweisung ab: wenn du oder ein von dir autorisierter KI-Client einen Sync startet, und über Änderungsbenachrichtigungen (Webhooks), falls du sie einrichtest. Nutzt du die optionale OAuth-Anmeldung für Jira oder Asana, sendet uns der Anbieter ein Zugriffstoken für die Berechtigungen, die du erteilst.

Für die Daten in deinen angebundenen Tools ist deine Organisation Verantwortliche, und wir handeln als ihr Auftragsverarbeiter nach Art. 28 DSGVO. Einen Auftragsverarbeitungsvertrag stellen wir auf Anfrage unter team@theprogrammanager.com bereit. Für deine Nutzung von Atlassian, Asana und Slack gelten deine eigenen Vereinbarungen mit diesen Anbietern.

Speicherdauer: Synchronisierte Daten und Zugangsdaten bleiben gespeichert, bis du die Anbindung trennst oder den Workspace löschst. Beim Trennen wird der gespeicherte Schlüssel entfernt.

Du kannst einen KI-Client anbinden, der das Model Context Protocol (MCP) unterstützt, zum Beispiel Claude, ChatGPT, Claude Code oder Cursor, mit einem Workspace-Token, das du unter Settings erstellst. Wir speichern nur einen SHA-256-Hash des Tokens, sein Präfix, seinen Namen, wer es erstellt hat und wann es zuletzt genutzt wurde. Das vollständige Token wird einmal angezeigt und nie gespeichert.

Ruft der KI-Client ein Tool auf, geben wir die angeforderten Workspace-Daten an diesen Client zurück. Von da an verarbeitet der KI-Anbieter (zum Beispiel Anthropic oder OpenAI) die Daten auf Grundlage deiner eigenen Vereinbarung oder der deiner Organisation mit diesem Anbieter. Änderungen, die ein KI-Client vorschlägt, werden nie direkt ausgeführt: Sie warten in der Freigabe-Warteschlange, bis eine Person sie in der Web-App freigibt.

Die Buttons "Open in Claude" und "Open in ChatGPT" öffnen die Website des Anbieters in einem neuen Tab, mit einer vorbereiteten Frage in der Adresse. Die Frage wird erst an diesen Anbieter übermittelt, wenn du auf den Button klickst.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Tokens bleiben gespeichert, bis du sie widerrufst oder der Workspace gelöscht wird.

Der Blog unter theprogrammanager.com/de/blog/ läuft auf WordPress und wird von ALL-INKL.COM - Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf, Deutschland, gehostet. Anfragen an /de/blog/ werden über Netlify (siehe Abschnitt 3) an diesen Server weitergeleitet. ALL-INKL.COM erfasst Server-Logs mit denselben Zugriffsdaten, die in Abschnitt 3 aufgeführt sind. ALL-INKL.COM verarbeitet diese Daten in unserem Auftrag (Art. 28 DSGVO). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Kommentare: Wenn du einen Kommentar schreibst, speichern wir deinen Namen, deine E-Mail-Adresse, optional deine Website, den Kommentartext, die Uhrzeit und deine IP-Adresse. Die E-Mail-Adresse wird nicht veröffentlicht. Spam wird mit dem WordPress-Plugin Antispam Bee gefiltert, das auf unserem eigenen Server läuft und keine Daten an Dritte sendet. Profilbilder (Gravatar) sind deaktiviert, deshalb gehen keine Daten an Gravatar. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Betrieb einer Kommentarfunktion und Verhinderung von Missbrauch). Kommentare werden gespeichert, solange der Artikel online ist oder bis du uns um Löschung bittest.

WordPress kann Cookies setzen, die für angemeldete Autorinnen und Autoren nötig sind und, wenn du diese Option wählst, deinen Namen und deine E-Mail-Adresse im Kommentarformular merken. Diese sind unbedingt erforderlich oder von dir gewünscht (§ 25 Abs. 2 Nr. 2 TDDDG).

Diese Website nutzt nur technisch notwendigen Speicher: deine Login-Sitzung und deine Cookie-Auswahl, die 6 Monate im Cookie cc_cookie gespeichert wird. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG. Optionale Statistik setzen wir nicht ein; sie würde nur mit deiner Einwilligung laufen (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Deine Auswahl kannst du jederzeit über "Cookie-Einstellungen" im Footer ändern.

Wir setzen keine Statistik-, Werbe- oder Tracking-Cookies ein und nutzen keine Tracking-Pixel oder Social-Media-Plugins. Die Web-App speichert im lokalen Speicher deines Browsers nur Folgendes:

• Die Anmeldesitzung von Supabase (Schlüssel, der mit "sb-" beginnt), damit du angemeldet bleibst.
• Deinen aktiven Workspace und Einstellungen der Oberfläche, etwa das Design (hell oder dunkel), die eingeklappte Seitenleiste, verbundene KI-Clients und Ansichtseinstellungen (Schlüssel, die mit "tpm-" oder "pm-" beginnen).

Dieser Speicher ist unbedingt erforderlich, um den von dir angeforderten Dienst bereitzustellen, daher ist keine Einwilligung nötig (§ 25 Abs. 2 Nr. 2 TDDDG). Die anschließende Verarbeitung beruht auf Art. 6 Abs. 1 lit. b und f DSGVO. Du kannst die Einträge jederzeit in den Einstellungen deines Browsers löschen; mit dem Abmelden wird die Sitzung entfernt.

Schriften (Inter und JetBrains Mono) werden von unserer eigenen Domain ausgeliefert. Es wird keine Verbindung zu Google Fonts oder anderen Schriftdiensten aufgebaut.

Wenn du zum Stripe Checkout oder zum Stripe-Abrechnungsportal weitergehst, verlässt du unsere Website. Stripe setzt dort eigene Cookies, zum Beispiel zur Betrugsprävention, nach seiner eigenen Datenschutzerklärung (siehe Abschnitt 5). Diese Seiten werden erst geladen, nachdem du den Button angeklickt hast.

Wenn du uns unter team@theprogrammanager.com schreibst, verarbeiten wir deine E-Mail-Adresse, deinen Namen und den Inhalt deiner Nachricht, um dir zu antworten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, wenn sich deine Anfrage auf einen Vertrag oder vorvertragliche Maßnahmen bezieht, andernfalls Art. 6 Abs. 1 lit. f DSGVO (unser Interesse an der Beantwortung von Anfragen). Wir löschen den Schriftwechsel, wenn die Angelegenheit erledigt ist, sofern keine gesetzlichen Aufbewahrungsfristen gelten.

Neben dem Betreiber erhalten personenbezogene Daten:

• Netlify, Inc., USA, und StackBlitz, Inc. (Bolt.new), USA: Hosting und Auslieferung von Website und Web-App.
• Supabase, Inc., USA: Authentifizierung, Datenbank, Server-Funktionen und Konto-E-Mails.
• Stripe Payments Europe, Ltd., Irland, und Stripe, Inc., USA: Zahlungsabwicklung, Steuern und Rechnungsstellung für Abonnements.
• ALL-INKL.COM - Neue Medien Münnich, Deutschland: Hosting des Blogs.
• Atlassian, Asana und Slack: nur wenn dein Workspace sie anbindet, wie in Abschnitt 6 beschrieben.
• Der Anbieter eines KI-Clients, den du verbindest: nur die Daten, die dein Client anfordert, wie in Abschnitt 7 beschrieben.

Wir verkaufen keine personenbezogenen Daten und geben sie nicht für Werbung weiter. An Behörden geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind.

Nach der DSGVO hast du das Recht auf:

• Auskunft über deine personenbezogenen Daten (Art. 15),
• Berichtigung unrichtiger Daten (Art. 16),
• Löschung (Art. 17),
• Einschränkung der Verarbeitung (Art. 18),
• Datenübertragbarkeit (Art. 20),
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO aus Gründen, die sich aus deiner besonderen Situation ergeben (Art. 21),
• Widerruf einer erteilten Einwilligung jederzeit mit Wirkung für die Zukunft (Art. 7 Abs. 3).

Um diese Rechte auszuüben, schreib an team@theprogrammanager.com. Wenn deine Organisation die Daten kontrolliert (Abschnitt 6), leiten wir deine Anfrage an sie weiter oder unterstützen sie bei der Beantwortung.

Außerdem hast du das Recht, dich bei einer Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Die für uns zuständige Behörde ist die Sächsische Datenschutz- und Transparenzbeauftragte in Dresden (www.datenschutz.sachsen.de).

Wir treffen keine Entscheidungen, die ausschließlich auf einer automatisierten Verarbeitung beruhen und dir gegenüber rechtliche Wirkung entfalten oder dich in ähnlicher Weise erheblich beeinträchtigen (Art. 22 DSGVO). Die Auswirkung auf Meilensteine wird mit deterministischen Datumsregeln berechnet, und Aktionen, die KI-Agenten vorschlagen, werden erst ausgeführt, nachdem eine Person sie freigegeben hat.

Alle Verbindungen sind per TLS verschlüsselt. Workspace-Daten sind pro Organisation durch Row-Level-Security in der Datenbank getrennt, Zugangsdaten werden nur serverseitig gespeichert, und folgenreiche Aktionen werden in einem Audit-Log festgehalten.

Du bist nicht verpflichtet, personenbezogene Daten bereitzustellen. Ohne E-Mail-Adresse und Passwort können wir dir allerdings kein Konto anlegen, und ohne die Rechnungsdaten, die Stripe erhebt, können wir kein Abonnement starten.

Wir aktualisieren diese Erklärung, wenn sich der Dienst oder die Rechtslage ändert. Die aktuelle Fassung findest du immer auf dieser Seite.