AVG en compliance bij Planerio: gegevensbescherming als standaard
- Softwarehosting in Duitsland
- Verwerkersovereenkomst en TOM standaard inbegrepen
- BSI C5-, ISO/IEC 27001-, 27017- en 27018-gecertificeerde infrastructuur
- AES-256-versleuteling en controleerbare logging
Planerio is een AVG-conforme software voor roosterplanning en personeelsmanagement. Uw persoonsgegevens voor roosterplanning worden verwerkt en opgeslagen op de BSI C5-, ISO/IEC 27001-, 27017- en 27018-gecertificeerde infrastructuur van AWS in Duitsland. Overige persoonsgegevens, bijvoorbeeld voor directe communicatie tussen Planerio en u, worden opgeslagen binnen de EU/EER. Een verwerkersovereenkomst conform art. 28 AVG is standaard inbegrepen in uw Planerio-contract. Kortom: gegevensbescherming en compliance zijn bij Planerio onderdeel van de software-architectuurbeslissingen en geen nice-to-have. Hierbij worden personeelsgegevens verwerkt uit het digitaal personeelsdossier en de personeelsstamgegevens. Ook de wettelijk verplichte registratie van de arbeidstijd valt onder dezelfde beschermingsvoorschriften.
AVG-conformiteit
Wat AVG-conformiteit bij Planerio concreet betekent
Drie pijlers — van de serverlocatie tot de verwerkersovereenkomst en de EU-/EER-transparantie van alle subverwerkers.
BSI C5- en ISO/IEC-gecertificeerde serverinfrastructuur van AWS
Planerio draait zijn volledige software-infrastructuur op AWS, met als enige datacenterlocatie Duitsland (Frankfurt am Main). Er vindt geen doorgifte naar derde landen plaats in de zin van het arrest van het Hof van Justitie van de EU C-311/18 (Schrems II). De bijbehorende documentatie is op aanvraag beschikbaar.
AWS is het eerste bedrijf waaraan het Duitse federale bureau voor informatiebeveiliging (BSI) de C5-certificering (Cloud Computing Compliance Controls Catalogue) heeft toegekend. Daarnaast is de AWS-regio Frankfurt gecertificeerd volgens ISO/IEC 27017 (gegevensbescherming in de cloud) en ISO/IEC 27018 (bescherming van persoonsgegevens in de cloud).
Verwerkersovereenkomst conform art. 28 AVG – standaard inbegrepen
Door ons aanbod te accepteren, gaat u akkoord met onze verwerkersovereenkomst conform art. 28 AVG als onderdeel van elk Planerio-contract – inclusief technische en organisatorische maatregelen (TOM).
Geen aparte aanvraagprocedure, geen extra werk voor uw functionarissen voor gegevensbescherming.
Op verzoek bieden wij ook een aparte verwerkersovereenkomst aan; neem hiervoor rechtstreeks contact op met uw Planerio-contactpersoon in de verkoop.
Transparantie rond gegevensbescherming binnen de EU/EER
Naast de Planerio-kernsoftware maakt Planerio voor interne bedrijfsprocessen gebruik van gespecialiseerde externe partijen, bijvoorbeeld voor projectmanagement en klantcommunicatie.
De verwerking van persoonsgegevens door deze diensten vindt uitsluitend plaats binnen de EU/EER.
Een volledig overzicht van de gebruikte subverwerkers en alle technische documentatie is op aanvraag beschikbaar.
Beveiligingsconcept
Technische beschermingsmaatregelen in een overzicht
Planerio beschermt logins, persoonsgegevens voor roosterplanning en processen van alle gebruikers met een gelaagd beveiligingsconcept.
Beveiligde toegang en authenticatie
- Single sign-on (SSO): centraal identiteitsbeheer, vermindert het aanvalsoppervlak
- Multifactorauthenticatie (MFA): standaard beschikbaar, aanbevolen voor gereguleerde omgevingen
- Rolgebaseerde toegangsrechten: instelbaar op afdelings- en bedrijfsniveau
Gegevensbeveiliging en beschikbaarheid
- Versleuteling: AES-256 voor opgeslagen gegevens, TLS 1.3 voor gegevensoverdracht (TLS 1.2 ondersteund als fallback)
- Back-up en disaster recovery: gedocumenteerd noodplan; RTO ≤ 24u, RPO ≤ 24u
- Controleerbare logging: elke wijziging wordt onveranderbaar vastgelegd en is auditeerbaar
- Incidentrespons conform art. 33 AVG: melding aan klanten binnen maximaal 72 uur
Gezondheidszorg en publieke sector
Compliance voor de gezondheidszorg en publieke sector
Voor ziekenhuizen, zorginstellingen en overheidsinstanties volstaat AVG-conformiteit alleen niet. Planerio ondersteunt sectorspecifieke eisen van huis uit — geautomatiseerd, controleerbaar en met een waarschuwingsfunctie wanneer geldende cao-bepalingen niet worden nageleefd.
Arbeitszeitgesetz (Duitse Arbeidstijdenwet, ArbZG) – geautomatiseerd en controleerbaar
Maximale arbeidstijden, rusttijden en de logica voor pauzeaftrek worden conform de ArbZG geautomatiseerd en controleerbaar toegepast. Geen handmatige Excel-controle, geen correcties achteraf na een belastingcontrole.
PPBV, PpUGV, PPP-RL e.a. – controleklare documentatie
Planerio documenteert wettelijk verplichte minimale personeelsbezetting voor gereguleerde gebieden in de gezondheidszorg op een controleklare en traceerbare manier. Audit-exports zijn op elk moment met één klik beschikbaar.
TVöD, TV-L, TV-Ärzte, bedrijfs-cao’s en regelingen met de ondernemingsraad
Ook gemeentelijke en universitaire cao’s kunnen in Planerio worden verwerkt, net als individuele regelingen met de ondernemingsraad. Bij de inrichting van Planerio worden deze direct vastgelegd in de planning- en tijdregistratielogica – het onboardingteam van Planerio legt u tijdens de software-inrichting uit hoe dit werkt.
AVG-conformiteit
Planerio in vergelijking met generieke workforcemanagementoplossingen
IT-beslissers in gereguleerde branches stellen ons bij softwarevergelijkingen steeds dezelfde vraag: “Zijn onze personeelsgegevens bij Planerio echt veilig?” Welke factoren belangrijk zijn bij het kiezen van een rooster- of workforcemanagementoplossing en hoe Planerio hieraan voldoet, ziet u in de tabel:
| Criterium | Planerio | Generieke WFM-tools |
|---|---|---|
| Serverlocatie (persoonsgegevens roosterplanning) | Uitsluitend in Duitsland (AWS Frankfurt) | Niet altijd Duitsland, soms EU en/of alleen met veel moeite te achterhalen |
| AVG-conform en verwerkersovereenkomst beschikbaar | Standaard onderdeel van ons contract; eventueel: apart contract | Soms alleen op aanvraag |
| Technische en organisatorische maatregelen (TOM) | Standaard inbegrepen als bijlage bij de verwerkersovereenkomst | Soms alleen op aanvraag |
| ArbZG van huis uit ondersteund | Diverse waarschuwingen bij niet-naleving | Naleving ligt bij de gebruikers |
| PPBV-, PpUGV- en PPP-RL-documentatie | Standaard beschikbaar | Soms wel, soms niet mogelijk |
| TVöD, TV-L, TV-Ärzte en gemeentelijke cao’s | Te verwerken, incl. doorgaans individuele bedrijfs-cao’s | Naleving ligt bij de gebruikers |
| Controleerbare logs | Systeemseitig gewaarborgd | Variabel |
| Softwarespecialisatie | Specifiek voor branches met complexe eisen | Vaak generiek of branche-overschrijdend |
In één oogopslag
Planerio-documentatie over gegevensbescherming in één oogopslag
Welke documenten u waar ontvangt — en welke standaard onderdeel zijn van uw contract.
Document
Beschikbaarheid
Verwerkersovereenkomst conform art. 28 AVG
Inbegrepen in het contract
Technische en organisatorische maatregelen (TOM)
Bijlage bij de verwerkersovereenkomst
Openbaar in te zien
AWS-certificeringen (BSI C5, ISO/IEC 27001, 27017, 27018)
Openbaar in te zien
Bewijs van serverlocatie (AWS Frankfurt)
Op aanvraag
Incidentresponsplan (art. 33 AVG)
Op aanvraag
Veelgestelde vragen
Veelgestelde vragen over gegevensbescherming en compliance bij Planerio
Ja. Alle persoonsgegevens voor roosterplanning worden uitsluitend in Duitsland verwerkt en opgeslagen. Er vindt geen doorgifte naar derde landen plaats in de zin van het arrest van het Hof van Justitie van de EU C-311/18. Een verwerkersovereenkomst conform art. 28 AVG is standaard inbegrepen of kan apart per bedrijf worden afgesloten.
Ja. Planerio draait zijn software-infrastructuur op AWS, met als enige datacenterlocatie Duitsland (Frankfurt am Main). De bijbehorende documentatie is op aanvraag beschikbaar.
Planerio draait zijn infrastructuur op de BSI C5-, ISO/IEC 27001-, 27017- en 27018-gecertificeerde cloudinfrastructuur van AWS. De AWS-certificaten zijn openbaar in te zien. Technische documentatie van Planerio is op aanvraag beschikbaar voor functionarissen voor gegevensbescherming, accountants en ondernemingsraden.
Ja, Planerio is AVG-conform en geschikt voor bedrijven van elke omvang — van medische praktijken tot ziekenhuisgroepen, van ambachtsbedrijven tot industriële ondernemingen met meerdere locaties. Ongeacht de bedrijfsgrootte gelden dezelfde privacystandaarden: de verwerkersovereenkomst en TOM zijn standaard inbegrepen in elk Planerio-contract.
Planerio documenteert wettelijk verplichte minimale personeelsbezetting voor gereguleerde gebieden op een controleklare en traceerbare manier – waaronder de operatiekamer, intensive care en psychiatrie. Bij dreigende onderbezetting waarschuwt Planerio automatisch in realtime. Audit-exports zijn altijd beschikbaar, zonder extra werk voor het planningsteam.
Maximale arbeidstijden, rusttijden en de logica voor pauzeaftrek worden conform de ArbZG geautomatiseerd en controleerbaar toegepast. TVöD, TV-L, TV-Ärzte en individuele bedrijfs-cao’s worden na de accountinrichting direct in de planninglogica geïntegreerd – zonder handmatige controle.
Planerio beschikt over een gedocumenteerd incidentresponsplan. Bij een beveiligingsincident worden klanten conform art. 33 AVG zo snel mogelijk, en uiterlijk binnen 72 uur, geïnformeerd.
Ja, want een uitgeprint prikbord biedt ongecontroleerde toegang, geen logging en geen privacyconforme toegangsbeperking. Persoonsgegevens in het dienstrooster vallen onder art. 88 AVG in combinatie met § 26 BDSG.
Het versturen van dienstroosters per e-mail is privacyrechtelijk eveneens problematisch: een onversleutelde e-mail is juridisch vergelijkbaar met een briefkaart – persoonsgegevens zoals werktijden en namen zijn voor derden mogelijk inzichtelijk. Met Planerio vervalt beide: medewerkers bekijken hun rooster uitsluitend via de rolgebaseerde, versleutelde personeelsplanning-app.
Geen prikbord, geen e-mail, geen privacyrisico.
Bewezen: meer dan 4.000 locaties
Vragen over gegevensbescherming persoonlijk bespreken – in 30 minuten.
Hebt u concrete vragen over de serverlocatie, verwerkersovereenkomst, certificeringen of sectorspecifieke compliance van Planerio? In een persoonlijke productdemo beantwoordt Planerio al uw vragen over gegevensbeveiliging – transparant, direct en zonder verkoopdruk.
Deze inhoud dient ter algemene informatie en vervangt geen individueel juridisch of privacyrechtelijk advies. Informatie over wettelijke vereisten (AVG, ArbZG, TVöD, PpUGV e.a.) is naar beste weten en op basis van openbaar toegankelijke bronnen samengesteld. Voor een bindend juridisch advies kunt u contact opnemen met een gekwalificeerd juridisch adviseur of uw functionaris voor gegevensbescherming.