Stand: Oktober 2026
Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:
Louis Constantin Grün – Bonari
Engelfriedshalde 88
72076 Tübingen
Deutschland
E-Mail: kontakt@bonari.de
Telefon: +49 (0) 157 54730101
Ein Datenschutzbeauftragter ist nicht bestellt, da die Voraussetzungen des § 38 BDSG nicht vorliegen.
Wir verarbeiten personenbezogene Daten grundsätzlich nur, soweit dies zur Bereitstellung einer funktionsfähigen Website sowie unserer Inhalte und Leistungen erforderlich ist. Die Verarbeitung erfolgt auf Grundlage der DSGVO, des Bundesdatenschutzgesetzes (BDSG) und des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG).
Rechtsgrundlagen sind insbesondere:
Löschung: Personenbezogene Daten werden gelöscht, sobald der Zweck der Speicherung entfällt und keine gesetzlichen Aufbewahrungspflichten (z. B. § 257 HGB, § 147 AO) entgegenstehen.
Bei der Nutzung unserer Website (bonari.de) sowie im Rahmen unserer eigenen Geschäftsbeziehung mit Kunden (z. B. Vertragsanbahnung, Registrierung, Rechnungsstellung, Support) sind wir Verantwortlicher im Sinne der DSGVO.
Soweit wir im Rahmen der Plattform (app.bonari.de und Bonari-App) personenbezogene Daten der Mitarbeitenden unserer Kunden verarbeiten, handeln wir als Auftragsverarbeiter nach Art. 28 DSGVO. Verantwortlicher ist in diesem Fall der jeweilige Arbeitgeber (Kunde). Grundlage ist der zwischen Bonari und dem Kunden geschlossene Auftragsverarbeitungsvertrag (AVV).
Beim Aufruf unserer Website werden durch den Browser automatisch Informationen an den Server übermittelt und temporär in Logfiles gespeichert: IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seite/Datei, übertragene Datenmenge, Meldung über erfolgreichen Abruf, Browsertyp und -version, Betriebssystem sowie die zuvor besuchte Seite (Referrer).
Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der technischen Bereitstellung, Stabilität und Sicherheit der Website. Logfiles werden nach 7 Tagen gelöscht, soweit sie nicht zur Aufklärung oder Abwehr von Sicherheitsvorfällen benötigt werden.
Website und Plattform werden auf Grundlage von Diensten folgender Anbieter betrieben. Soweit diese personenbezogene Daten in unserem Auftrag verarbeiten, haben wir mit ihnen Auftragsverarbeitungsverträge nach Art. 28 DSGVO geschlossen.
Base44 (Wix.com Ltd., 40 Namal Tel Aviv St., Tel Aviv, Israel) – Bereitstellung der Anwendungs- und Backend-Infrastruktur für Website und Plattform (Hosting, Datenbank, Authentifizierung) sowie Auslieferung von Bilddateien (siehe unten). Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO. Für Israel besteht ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO); soweit Wix Unterauftragnehmer in den USA einsetzt, erfolgt die Übermittlung auf Grundlage der EU-Standardvertragsklauseln bzw. des EU-US Data Privacy Framework.
Cloudflare, Inc. (101 Townsend St., San Francisco, CA 94107, USA) – DNS-, Sicherheits- und Content-Delivery-Dienste zur Auslieferung, Beschleunigung und Absicherung der Website. Dabei wird die IP-Adresse des Besuchers an Cloudflare übermittelt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sichere und performante Bereitstellung). Cloudflare ist nach dem EU-US Data Privacy Framework zertifiziert; ergänzend gelten die EU-Standardvertragsklauseln. Weitere Informationen: https://www.cloudflare.com/privacypolicy/
Microsoft 365 (Microsoft Ireland Operations Ltd., One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland) – E-Mail-Kommunikation, Kalender und Dokumentenablage für unsere Geschäftskorrespondenz. Wenn Sie uns per E-Mail kontaktieren, werden Ihre Nachricht und Ihre Kontaktdaten auf Microsoft-Servern in der EU verarbeitet. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO. Für den Fall einer Übermittlung in die USA gelten die EU-Standardvertragsklauseln bzw. das EU-US Data Privacy Framework. Weitere Informationen: https://privacy.microsoft.com/de-de/privacystatement
Schriftarten: Die auf unserer Website verwendeten Schriftarten werden lokal auf unseren Servern gehostet. Beim Seitenaufruf wird keine Verbindung zu Google (Google Fonts) oder anderen Schriftanbietern aufgebaut.
Bilddateien: Grafiken unserer Website (z. B. Logo, Symbole, App-Store-Badge) werden über den Mediendienst unseres Hosting-Anbieters Base44 (media.base44.com, Wix.com Ltd.) ausgeliefert. Beim Laden der Seite stellt Ihr Browser dazu eine Verbindung zu diesen Servern her; dabei werden Ihre IP-Adresse, Datum und Uhrzeit des Abrufs, die angeforderte Datei sowie Browserinformationen an Base44 übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einer zuverlässigen und schnellen Auslieferung der Website. Zur Drittlandübermittlung siehe oben sowie Ziffer 14.
Unsere Website setzt keine Cookies zu Analyse- oder Werbezwecken. Die Anwendung legt im lokalen Speicher Ihres Browsers (Local Storage) die folgenden Einträge ab, die für den Betrieb von Website und Plattform technisch erforderlich sind:
| Eintrag | Zweck | Speicherdauer |
|---|---|---|
| base44_app_id | Zuordnung der Anfragen Ihres Browsers zu unserer Anwendung | bis zur Löschung durch Sie bzw. Ihren Browser |
| base44_functions_version | Laden der jeweils passenden Version der Anwendungsfunktionen | bis zur Löschung durch Sie bzw. Ihren Browser |
| base44_from_url | Speicherung der zuletzt aufgerufenen Seite, um Sie z. B. nach der Anmeldung dorthin zurückzuleiten | bis zur Löschung durch Sie bzw. Ihren Browser |
| base44_analytics_session_id | Technische Sitzungskennung der Anwendungsinfrastruktur; die Auswertungsfunktion ist deaktiviert, es werden keine Nutzungsdaten an uns oder Dritte übermittelt | bis zur Löschung durch Sie bzw. Ihren Browser |
| Sitzungs-Token (nur nach Anmeldung) | Aufrechterhaltung Ihrer Anmeldesitzung in der Plattform | bis zur Abmeldung oder zum Ablauf der Sitzung |
Diese Einträge werden nicht zur Nachverfolgung Ihres Nutzungsverhaltens, zur Profilbildung oder zu Werbezwecken eingesetzt. Sie können sie jederzeit über die Einstellungen Ihres Browsers löschen; die Website legt sie dann beim nächsten Besuch neu an.
Rechtsgrundlage für die Speicherung ist § 25 Abs. 2 Nr. 2 TDDDG, für die anschließende Verarbeitung Art. 6 Abs. 1 lit. f DSGVO (bei Nutzung der Plattform: Art. 6 Abs. 1 lit. b DSGVO). Da keine nicht notwendigen Cookies oder Tracking-Technologien eingesetzt werden, ist keine Einwilligung erforderlich; deshalb wird kein Cookie-Banner angezeigt.
Wir setzen keine Webanalyse-, Tracking- oder Marketing-Dienste (z. B. Google Analytics, Meta Pixel) ein.
Über die Schaltfläche „Gespräch vereinbaren" gelangen Sie auf die Seite des Terminplanungsdienstes Calendly (Calendly LLC, 115 E Main St., Buford, GA 30518, USA). Erst mit dem Klick auf diese Schaltfläche verlassen Sie unsere Website; beim Aufruf von calendly.com werden Ihre IP-Adresse sowie – bei einer Buchung – die von Ihnen eingegebenen Daten (Name, E-Mail-Adresse, ggf. Praxisname und Nachricht) an Calendly übermittelt. Calendly übermittelt uns anschließend die Buchungsdaten zur Durchführung des Termins.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahme auf Ihre Anfrage). Calendly ist nach dem EU-US Data Privacy Framework zertifiziert; ergänzend gelten die EU-Standardvertragsklauseln. Weitere Informationen: https://calendly.com/de/privacy
Arbeitgeber (Kunden): Für die Nutzung der Plattform (app.bonari.de) ist die Einrichtung eines Nutzerkontos erforderlich. Bei der Registrierung verarbeiten wir E-Mail-Adresse und ein von Ihnen gewähltes Passwort (nur in gehashter Form gespeichert) sowie im Rahmen des Onboardings Unternehmens-/Praxisdaten, Name der verantwortlichen Person, Rechnungsdaten und weitere zur Vertragsdurchführung erforderliche Angaben. Die Anmeldung erfolgt per E-Mail-Adresse und Passwort.
Mitarbeitende: Mitarbeitende der Kunden erhalten Zugang zur Bonari-App über eine Einladung ihres Arbeitgebers. Die erstmalige Anmeldung erfolgt über ein Einmalpasswort (OTP), das an die vom Arbeitgeber hinterlegte E-Mail-Adresse gesendet wird. Die Verarbeitung dieser Daten erfolgt im Auftrag des Arbeitgebers (siehe Ziffer 3 und 9).
Rechtsgrundlage für Kundendaten ist Art. 6 Abs. 1 lit. b DSGVO. Die Daten werden für die Dauer der Vertragsbeziehung und darüber hinaus im Rahmen gesetzlicher Aufbewahrungsfristen gespeichert.
Zur Erbringung der Plattformleistungen verarbeiten wir personenbezogene Daten der Mitarbeitenden unserer Kunden (z. B. Name, E-Mail-Adresse, zugeteilte Benefits, Budgets, Zeiträume, Beträge, eingereichte Belege). Diese Verarbeitung erfolgt ausschließlich im Auftrag und nach Weisung des jeweiligen Kunden (Arbeitgeber) auf Grundlage des AVV nach Art. 28 DSGVO.
Betroffene Mitarbeitende wenden sich zur Ausübung ihrer Rechte vorrangig an ihren Arbeitgeber als Verantwortlichen. Selbstverständlich unterstützen wir den Arbeitgeber bei der Beantwortung solcher Anfragen.
Für die Abwicklung kostenpflichtiger Tarife nutzen wir den Zahlungsdienstleister Stripe (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland; ggf. Stripe, Inc., USA). Die für die Zahlung erforderlichen Daten (Name, Rechnungsadresse, Zahlungsmittel, Rechnungsbetrag) werden an Stripe übermittelt und dort verarbeitet. Zahlungsdaten (z. B. Kartennummern) werden ausschließlich bei Stripe gespeichert, nicht bei Bonari.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragsabwicklung) sowie Art. 6 Abs. 1 lit. f DSGVO (effiziente und sichere Zahlungsabwicklung). Stripe ist hinsichtlich der Zahlungsdaten eigenständig Verantwortlicher und nach dem EU-US Data Privacy Framework zertifiziert. Weitere Informationen: https://stripe.com/de/privacy
Zum Versand von Transaktions- und Benachrichtigungs-E-Mails (z. B. Registrierungsbestätigung, Einmalpasswörter, Einladungen, Systembenachrichtigungen; Absender noreply@bonari.de) nutzen wir den Dienst Resend (Resend, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA). Hierbei werden die E-Mail-Adressen der Empfänger, der Inhalt der E-Mail sowie zustellungsrelevante Metadaten verarbeitet.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO. Die Übermittlung in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln. Weitere Informationen: https://resend.com/legal/privacy-policy
Zur Ausgabe von Sachbezugsgutscheinen übermitteln wir die hierfür erforderlichen Daten (Name und/oder E-Mail-Adresse der begünstigten Mitarbeitenden, Gutscheinwert, Ausgabezeitpunkt) an die cadooz GmbH, Osterbekstraße 90a, 22083 Hamburg, Deutschland. Die Übermittlung erfolgt zur Erfüllung des Auftrags des Kunden. Gutscheindaten werden bei uns verschlüsselt gespeichert.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Für die eigene Verarbeitung durch cadooz (z. B. Einlösung) gelten die dortigen Datenschutzbestimmungen: https://www.cadooz.com/datenschutz
Wenn Sie uns per E-Mail oder Telefon kontaktieren, verarbeiten wir Ihre Angaben (Name, Kontaktdaten, Inhalt der Anfrage) zur Bearbeitung der Anfrage.
Nutzen Sie das Kontaktformular auf unserer Website, verarbeiten wir die dort eingegebenen Daten (Name, E-Mail-Adresse, Betreff und Nachricht). Die Übermittlung erfolgt über unsere Anwendungsinfrastruktur (Base44, siehe Ziffer 5); der Versand der Nachricht an unser Postfach erfolgt über den E-Mail-Dienst Resend (siehe Ziffer 11). Anschließend wird die Anfrage in unserem Microsoft-365-Postfach bearbeitet (siehe Ziffer 5).
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (bei vertragsbezogenen Anfragen) bzw. Art. 6 Abs. 1 lit. f DSGVO (bei sonstigen Anfragen). Die Daten werden gelöscht, sobald sie zur Erreichung des Zwecks nicht mehr erforderlich sind und keine Aufbewahrungspflichten entgegenstehen, spätestens nach 12 Monaten, sofern kein Vertrag zustande kommt.
Soweit im Rahmen der vorgenannten Dienste eine Verarbeitung außerhalb der Europäischen Union / des Europäischen Wirtschaftsraums erfolgt (insbesondere USA, Israel), stellen wir durch geeignete Garantien nach Art. 44 ff. DSGVO ein angemessenes Datenschutzniveau sicher: Angemessenheitsbeschlüsse der EU-Kommission (Art. 45 DSGVO, u. a. EU-US Data Privacy Framework, Israel), EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) und ergänzende technische Maßnahmen (Verschlüsselung).
Ihnen stehen folgende Rechte zu:
Zur Ausübung Ihrer Rechte genügt eine E-Mail an kontakt@bonari.de.
Widerspruchsrecht: Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch einzulegen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen.
Beschwerderecht: Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig ist für uns:
Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Lautenschlagerstraße 20, 70173 Stuttgart
E-Mail: poststelle@lfdi.bwl.de
Web: https://www.baden-wuerttemberg.datenschutz.de
Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO findet nicht statt. Budgetprüfungen innerhalb der Plattform erfolgen nach vom Arbeitgeber festgelegten Regeln und haben keine rechtliche Wirkung gegenüber den Mitarbeitenden.
Wir treffen angemessene technische und organisatorische Maßnahmen, um Ihre Daten gegen Verlust, Zerstörung, Manipulation und unbefugten Zugriff zu schützen. Dazu gehören TLS-Verschlüsselung der gesamten Kommunikation, verschlüsselte Speicherung sensibler Daten (Gutscheindaten), rollenbasierte Zugriffsrechte, gehashte Passwörter und regelmäßige Überprüfung unserer Dienstleister.
Diese Datenschutzerklärung hat den Stand Oktober 2026. Wir passen sie an, wenn sich unsere Dienste oder die Rechtslage ändern. Die jeweils aktuelle Fassung ist unter https://bonari.de/datenschutz abrufbar.