Stand: September 2026
Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und anderer nationaler Datenschutzgesetze sowie sonstiger datenschutzrechtlicher Bestimmungen ist:
Galdora Personalmanagement GmbH & Co. KG
Volksgartenstr. 85-89
41065 Mönchengladbach
Deutschland
E-Mail: info@galdora.de
Boltwork ist eine webbasierte Arbeitszeiterfassungs- und Schichtplanungssoftware. In diesem Rahmen verarbeiten wir personenbezogene Daten unserer Nutzer (Mitarbeiter, Teamleiter bzw. Administratoren der jeweiligen Unternehmen). Die nachfolgende Übersicht fasst die Arten der verarbeiteten Daten zusammen:
Die Verarbeitung personenbezogener Daten erfolgt nur auf Grundlage einer gesetzlichen Erlaubnis. Es kommen insbesondere folgende Rechtsgrundlagen in Betracht:
Bei der Registrierung (ausschließlich per Einladungslink) werden folgende Daten erhoben: E-Mail-Adresse, Vorname, Nachname, Geburtsdatum und ein selbstgewähltes Passwort. Die Authentifizierung erfolgt über Supabase Auth. Passwörter werden ausschließlich als kryptografische Hashes gespeichert und sind nicht im Klartext einsehbar.
Zusätzlich können Sie freiwillig eine sechsstellige PIN für die Schnellanmeldung festlegen. Sie wird ausschließlich als bcrypt-Hash gespeichert. Zur Absicherung gegen Erraten werden fehlgeschlagene Versuche gezählt und der Zugang nach fünf Fehlversuchen für 15 Minuten gesperrt.
Zweck des Geburtsdatums: Es dient der eindeutigen Zuordnung in der Personalverwaltung und der Lohnabrechnung. Zusätzlich zeigt die Anwendung Führungskräften einen Geburtstagshinweis inklusive des erreichten Alters an. Wenn Sie diesen Hinweis nicht wünschen, können Sie der Anzeige nach Art. 21 DSGVO widersprechen; wenden Sie sich dazu an die in Abschnitt 1 genannte Stelle.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, § 26 Abs. 1 BDSG (Durchführung des Beschäftigungsverhältnisses)
Zweiter Faktor: Wer eine Organisationsrolle hat (Teamleitung, Recruiter, Buchhaltung, Administration) und auf Daten anderer Personen zugreift, muss den Zugang einmal je Sitzung zusätzlich bestätigen – wahlweise mit einer Authenticator-App oder mit einem sechsstelligen Einmalcode, den wir per E-Mail senden. Ein Einmalcode ist zehn Minuten gültig und wird nur als Hash gespeichert, ebenso die zehn einmal verwendbaren Wiederherstellungscodes für den Fall, dass das Telefon verloren geht. Gespeichert werden außerdem, welcher Weg eingerichtet ist, sowie für jede bestätigte Sitzung der Zeitpunkt und der verwendete Weg; eine Bestätigung gilt zwölf Stunden. Die Einrichtung einer Authenticator-App wird von Supabase Auth verwaltet.
Geräte für die PIN-Anmeldung: Richten Sie auf einem Gerät die PIN-Anmeldung ein, erhält dieses Gerät ein Zufallsgeheimnis. Es liegt im lokalen Speicher Ihres Browsers; bei uns wird nur sein Hash gespeichert, zusammen mit einer groben, aus der Browserkennung abgeleiteten Bezeichnung (etwa „Safari auf iPhone“), dem Einrichtungszeitpunkt und dem Zeitpunkt der letzten Nutzung. In den Einstellungen sehen Sie diese Geräte und können jedes davon widerrufen.
Schutz vor Anmeldeversuchen: Um das Erraten von PINs und massenhafte Anfragen zum Zurücksetzen des Passworts zu verhindern, zählen wir Versuche je IP-Adresse und – beim Zurücksetzen des Passworts – je E-Mail-Adresse in Zeitfenstern von einer Stunde. Diese Zähler werden nach 24 Stunden gelöscht.
Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 32 DSGVO (Sicherheit der Verarbeitung), Art. 6 Abs. 1 lit. f DSGVO (Schutz der Konten und der darin gespeicherten Beschäftigtendaten)
Die Kernfunktion der Anwendung ist die Erfassung von Arbeitszeiten. Dabei werden folgende Daten verarbeitet:
Rechtsgrundlage: Art. 6 Abs. 1 lit. b, c DSGVO; § 16 Abs. 2 ArbZG; § 26 BDSG
Die Anwendung kann so eingestellt werden, dass beim Einstempeln der Standort des Geräts abgefragt wird. Diese Einstellung ist nicht automatisch aktiv: sie wird pro Unternehmen und optional abweichend pro Person aktiviert. Ist sie für Sie nicht aktiv, werden keinerlei Standortdaten erhoben.
Ist sie aktiv, werden zum Zeitpunkt des Einstempelns verarbeitet:
Zweck: Nachweis, dass die Arbeitszeit am vereinbarten Einsatzort begonnen wurde. Die Erfassung erfolgt ausschließlich im Moment des Einstempelns – es findet keine laufende Ortung, keine Bewegungsverfolgung und keine Erfassung beim Ausstempeln oder während der Arbeitszeit statt.
Wer die Daten sieht: Nur Ihre Führungskraft, ein zuständiger Recruiter oder ein Administrator Ihres Unternehmens – dieselben Personen, die auch Ihre Arbeitszeiten sehen. Der Zugriff wird durch Berechtigungsregeln auf Datenbankebene erzwungen.
Übermittlung an Google: Zur Anzeige des Standorts auf einer Karte bietet die Oberfläche einen Link zu Google Maps (Google Ireland Limited). Wird dieser Link von einer berechtigten Person angeklickt, werden die betreffenden Koordinaten und die IP-Adresse dieser Person an Google übermittelt; dabei können Daten in die USA übermittelt werden (Grundlage: Angemessenheitsbeschluss EU-U.S. Data Privacy Framework, Art. 45 DSGVO). Ohne Klick findet keine Übermittlung statt – die Koordinaten selbst werden ausschließlich in unserer Datenbank in der EU gespeichert.
Rechtsgrundlage: § 26 Abs. 1 BDSG in Verbindung mit Art. 6 Abs. 1 lit. b, f DSGVO. Die Erhebung ist auf den Einstempelvorgang begrenzt, weil eine weitergehende Ortung zur Erfüllung des Zwecks nicht erforderlich wäre.
Mitbestimmung: Die Standortpflicht ist eine technische Einrichtung, die geeignet ist, Verhalten oder Leistung von Beschäftigten zu überwachen. Ihre Einführung und Nutzung unterliegt daher – soweit ein Betriebsrat besteht – der Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG. Maßgeblich ist die im Unternehmen geltende Betriebsvereinbarung bzw. Regelung.
Widerspruch: Sie können der Verarbeitung nach Art. 21 DSGVO widersprechen. Da die Standortangabe in diesem Fall dem Nachweis der Arbeitszeit dient, klärt Ihr Arbeitgeber mit Ihnen ein geeignetes anderes Nachweisverfahren.
Teamleiter und Administratoren können Arbeitsschichten planen und Mitarbeitern zuweisen. Dabei werden Datum, Start-/Endzeit, Schichttyp und optionale Notizen gespeichert.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, Art. 6 Abs. 1 lit. f DSGVO (Betriebsorganisation)
Abwesenheiten (Urlaub, auch halbe Tage, Krankheit, Wunschfrei, Freischicht, Freizeitausgleich) werden beantragt oder von der Teamleitung eingetragen; zusätzlich kann die Teamleitung unentschuldigtes Fehlen vermerken. Gespeichert werden: Art der Abwesenheit, Zeitraum, optionale Begründung, Status der Genehmigung und Entscheider. Abwesenheitsanträge und -entscheidungen können automatisierte E-Mail-Benachrichtigungen auslösen.
Krankheitstage: Gespeichert wird nur, dass und wannSie arbeitsunfähig waren – keine Diagnose. Auch diese Angabe ist ein Gesundheitsdatum im Sinne von Art. 9 DSGVO.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, § 26 BDSG; für Krankheitstage Art. 9 Abs. 2 lit. b DSGVO i. V. m. § 26 Abs. 3 BDSG (Pflichten aus dem Arbeitsrecht, insbesondere Entgeltfortzahlung)
Für einzelne Tage können Mitarbeiter Wunschfrei beantragen; die Teamleitung entscheidet darüber, und aus einem genehmigten Wunsch wird eine Freischicht. Dauerhaft freie Wochentage hinterlegt ausschließlich die Teamleitung in den Stammdaten. Beides wird bei der Schichtplanung angezeigt, um Konflikte zu vermeiden; eine Wirkung auf Urlaubsanspruch, Krankheitstage oder Arbeitszeitkonto hat es nicht.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO
Die Anwendung berechnet automatisch das Überstundensaldo basierend auf den erfassten Arbeitszeiten und den individuell hinterlegten Soll-Wochenstunden. Ist ein Gleitzeitkonto eingerichtet, werden Buchungen darauf (Art, Umfang, Wirksamkeitsdatum, Grund, Antrag und Entscheidung) gespeichert.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b, c DSGVO; § 16 Abs. 2 ArbZG
Zu Compliance- und Nachvollziehbarkeitszwecken wird ein unveränderliches Audit-Log geführt: Jede Handlung, die Daten verändert, hinterlässt dort einen Eintrag. Protokolliert werden insbesondere:
Jeder Protokolleintrag enthält: die Art der Aktion, die betroffene Entität und – soweit eine Person betroffen ist – diese Person, die ID des Handelnden, die Unternehmens-ID, den Zeitstempel sowie ein Detailobjekt mit Vorher-/Nachher-Werten und ggf. einer Begründung. Einsehen können das Protokoll die Organisationsrollen Ihres Unternehmens und Administratoren. Einträge, die Ihre eigenen Daten betreffen, sehen Sie selbst im Änderungsverlauf.
Rechtsgrundlage: Art. 6 Abs. 1 lit. c, f DSGVO (gesetzliche Aufbewahrungspflichten, berechtigtes Interesse an der Nachvollziehbarkeit)
Bei bestimmten Ereignissen versendet die Anwendung automatisierte E-Mails. Alle E-Mails – auch die zur Anmeldung – gehen über den E-Mail-Server unseres Postfach-Anbieters IONOS (SMTP); Supabase Auth erzeugt dafür nur den Link und versendet selbst nichts:
Hierbei werden die für die jeweilige Benachrichtigung erforderlichen Daten (Name, E-Mail, Firmenname, Art und Zeitraum der Abwesenheit) an den E-Mail-Server übermittelt, der die Nachricht an den Empfänger ausliefert. Ein zusätzlicher Automatisierungsdienst ist daran nicht mehr beteiligt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b, f DSGVO
Innerhalb der Anwendung werden Benachrichtigungen angezeigt (z. B. über offene Bestätigungen oder Statusänderungen). Diese sind an die Nutzer-ID gebunden und können vom Nutzer als gelesen markiert werden.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b, f DSGVO
Nutzer können ihre Arbeitszeitdaten als CSV- oder PDF-Datei (Stundenzettel) exportieren. Der Export enthält: Datum, Start-/Endzeit, Pausen, Nettoarbeitszeit und Notizen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, Art. 15 Abs. 3 DSGVO (Recht auf Kopie)
Sie können freiwillig ein Profilbild hochladen; ein Zuschnitt-Werkzeug in der Anwendung bestimmt den sichtbaren Ausschnitt. Das Bild erscheint in Ihrem Profil sowie überall, wo Ihr Name in der Anwendung auftaucht (Team-Übersicht, Kalender, Aufgaben, Mitteilungen). Ein Profilbild ist für keine Funktion erforderlich und kann jederzeit in den Einstellungen entfernt werden.
Die Dateien liegen im Speicher unseres Datenbankanbieters in der EU und sind nicht öffentlich abrufbar: Jeder Bildaufruf läuft über die Anwendung und setzt eine gültige Anmeldung voraus. Wird ein Konto deaktiviert, ist auch das Bild nicht mehr abrufbar.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch freiwilligen Upload), im Übrigen Art. 6 Abs. 1 lit. f DSGVO (Erkennbarkeit im Team). Die Einwilligung ist jederzeit durch Entfernen des Bildes widerrufbar.
Über „Meine Daten“ können Sie eine Änderung Ihres Vor- und Nachnamens, Ihres Geburtsdatums oder Ihrer dauerhaft freien Tage beantragen. Gespeichert werden die vorgeschlagenen Werte, der Stand zum Zeitpunkt des Antrags, Ihre Begründung, der Status sowie wer wann entschieden hat und mit welcher Notiz. Der Antrag wird Teil Ihrer Personalunterlagen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b, c DSGVO, § 26 Abs. 1 BDSG; Art. 16 DSGVO (Recht auf Berichtigung)
Auf Wunsch erzeugen Sie in den Einstellungen eine persönliche Kalenderadresse, die Ihr Kalenderprogramm regelmäßig abruft. Sie liefert ausschließlich Ihre eigenen Daten: Ihre geplanten Schichten (Datum, Uhrzeit, Schichtart, Notiz und als Ort die Anschrift Ihres Einsatzunternehmens) und Ihre genehmigten Abwesenheiten mit ihrer Art – also auch Krankheitstage –, jeweils von 60 Tagen zurück bis 400 Tage voraus.
Übermittlung durch Sie selbst: Mit dem Eintragen der Adresse in ein Kalenderprogramm übermitteln Sie diese Daten an dessen Anbieter, den Sie selbst wählen. Häufig sind das Google, Apple oder Microsoft; dabei können Daten in die USA gelangen. Für die Verarbeitung dort ist der jeweilige Anbieter verantwortlich, nicht wir. Wer die Adresse kennt, kann den Kalender abrufen – geben Sie sie daher nicht weiter.
Bei uns gespeichert werden nur ein Hash der Adresse, der Erstellungszeitpunkt, der Zeitpunkt des letzten Abrufs und ggf. der Zeitpunkt des Widerrufs. Mit dem Widerruf in den Einstellungen ist die Adresse sofort ungültig.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einrichtung auf eigenen Wunsch, jederzeit widerrufbar); für die enthaltenen Krankheitstage Art. 9 Abs. 2 lit. a DSGVO
Über „Fehler melden“ können Sie der Administration ein Problem schildern. Gespeichert werden die betroffene Seite, eine Kategorie, Ihre Beschreibung, ein optional angehängtes Bildschirmfoto, die Geräteart (etwa Handy oder Desktop), Ihr Konto und Ihr Unternehmen. Achten Sie darauf, dass ein Bildschirmfoto keine Daten anderer Personen zeigt, die für die Meldung nicht nötig sind.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Betrieb und Verbesserung der Anwendung)
Neue Nutzer erhalten eine Einladung als Link oder als QR-Code. Beides führt zur Registrierung eines eigenen Kontos; jede Person meldet sich anschließend mit ihrem eigenen Zugang an. Gespeichert werden die E-Mail-Adresse (sofern angegeben), vorgesehene Rolle, Firma und Personalnummer, die einladende Person, ein Einladungstoken, dessen Ablaufdatum und der Zeitpunkt der Annahme.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, § 26 Abs. 1 BDSG
Unternehmen, die Boltwork nutzen möchten, können auf der Startseite eine Zugangsanfrage stellen. Pflichtangaben sind Unternehmen, Ansprechpartner und E-Mail-Adresse; Telefonnummer, Teamgröße und eine Nachricht sind freiwillig. Die Angaben werden nicht in der Datenbank gespeichert, sondern per E-Mail an unseren Vertrieb geschickt; Sie erhalten eine Eingangsbestätigung. Zum Schutz vor massenhaften Anfragen wird Ihre IP-Adresse für eine Stunde im Arbeitsspeicher des Servers gezählt und danach verworfen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anbahnung eines Vertrags), Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch des Formulars)
Im Rahmen des Betriebs der Anwendung setzen wir folgende Dienste ein, an die personenbezogene Daten übermittelt werden:
| Dienst | Anbieter | Zweck | Serverstandort |
|---|---|---|---|
| Supabase | Supabase, Inc. | Datenbank, Authentifizierung, Dateispeicher, Echtzeit-Updates | EU (Frankfurt am Main) |
| Vercel | Vercel, Inc. | Hosting der Web-Applikation (Next.js), zeitgesteuerte Hintergrundaufgaben | EU (Frankfurt am Main); Unternehmenssitz USA (DPF) |
| IONOS | IONOS SE, Montabaur | E-Mail-Postfach und Versand aller E-Mails der Anwendung (SMTP) | Deutschland |
| Google Maps | Google Ireland Limited | Kartenanzeige eines erfassten Einstempel-Standorts – nur bei aktivem Klick einer berechtigten Person, keine Einbettung in die Anwendung (siehe Abschnitt 4.2a) | Irland / USA (DPF) |
Weitere Dienste, etwa zur Fehlerüberwachung oder Reichweitenmessung, setzen wir nicht ein.
Google Maps ist nicht in die Anwendung eingebettet: es wird kein Skript und keine Karte von Google geladen. Übermittelt wird nur, wenn eine berechtigte Person den Kartenlink ausdrücklich öffnet.
Mit allen Auftragsverarbeitern wurden bzw. werden Auftragsverarbeitungsverträge (AVV) gemäß Art. 28 DSGVO geschlossen. Bei einer Datenübermittlung in Drittländer (z. B. USA) werden geeignete Garantien wie Standardvertragsklauseln (SCCs) gem. Art. 46 Abs. 2 lit. c DSGVO oder eine Angemessenheitsentscheidung gem. Art. 45 DSGVO (EU-U.S. Data Privacy Framework) sichergestellt.
Personenbezogene Daten werden nur so lange gespeichert, wie es für die Erfüllung des jeweiligen Zwecks erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen:
| Datenart | Speicherdauer | Grundlage |
|---|---|---|
| Arbeitszeitdaten | Mindestens 2 Jahre | § 16 Abs. 2 ArbZG |
| Lohnrelevante Unterlagen | 6 Jahre (handelsrechtlich) / 10 Jahre (steuerrechtlich) | § 257 HGB, § 147 AO |
| Audit-Log-Einträge | Keine automatische Löschung: Die Einträge werden zu Nachweiszwecken aufbewahrt, solange das Konto bzw. das Vertragsverhältnis und gesetzliche Nachweispflichten bestehen. Wird ein Konto gelöscht, bleibt der Eintrag erhalten; nur seine Verknüpfung zum Konto entfällt. | Art. 6 Abs. 1 lit. c, f DSGVO |
| Änderungsanträge zu Stammdaten | Als Teil der Personalunterlagen bis zu 10 Jahre; sie werden zusammen mit der Personalakte gelöscht, nicht vorher und nicht getrennt von ihr | § 147 AO, § 26 BDSG |
| Kalender-Abo (Hash, Zeitpunkte) | Bis zur Löschung des Kontos; die Adresse ist ab dem Widerruf ungültig, der Eintrag bleibt als Nachweis des Widerrufs | Art. 6 Abs. 1 lit. a, f DSGVO |
| Wiederherstellungscodes (Hash) | Bis zur Erzeugung eines neuen Satzes – dann werden alle bisherigen gelöscht – oder bis zur Löschung des Kontos | Art. 32 DSGVO |
| Einmalcodes und bestätigte Sitzungen des zweiten Faktors | Gültig 10 Minuten bzw. 12 Stunden; abgelaufene Einträge werden derzeit erst mit der Löschung des Kontos entfernt | Art. 32 DSGVO |
| Für die PIN-Anmeldung eingerichtete Geräte | Bis zur Löschung des Kontos; ein widerrufenes Gerät bleibt als Nachweis des Widerrufs vermerkt | Art. 32 DSGVO |
| Zähler von Anmelde- und Rücksetzversuchen (IP- bzw. E-Mail-Adresse) | 24 Stunden | Art. 6 Abs. 1 lit. f DSGVO |
| Fehlermeldungen | Bis zur Löschung durch die Administration | Art. 6 Abs. 1 lit. f DSGVO |
| Zugangsanfragen (E-Mail im Postfach des Vertriebs) | Bis zur Erledigung der Anfrage; kommt ein Vertrag zustande, gelten die handels- und steuerrechtlichen Fristen | Art. 6 Abs. 1 lit. b DSGVO, § 257 HGB, § 147 AO |
| Benutzerkonten | Bis zur Deaktivierung + gesetzliche Aufbewahrungsfrist | § 26 BDSG |
| Standortdaten des Einstempelvorgangs | Wie der zugehörige Arbeitszeitdatensatz, mindestens 2 Jahre | § 16 Abs. 2 ArbZG, § 26 Abs. 1 BDSG |
| Geburtsdatum | Bis zur Löschung des Benutzerkontos | § 26 Abs. 1 BDSG |
| PIN (bcrypt-Hash) | Bis zum Zurücksetzen oder zur Löschung des Kontos | Art. 6 Abs. 1 lit. b, f DSGVO |
| Profilbild | Bis zum Ersetzen oder Entfernen durch die Person selbst | Art. 6 Abs. 1 lit. a, f DSGVO |
| Einladungslinks | Bis zur Annahme oder Ablauf (konfigurierbar) | Art. 6 Abs. 1 lit. b DSGVO |
Als betroffene Person stehen Ihnen gemäß der DSGVO folgende Rechte zu:
Zur Ausübung Ihrer Rechte wenden Sie sich bitte an die oben genannte Kontaktadresse.
Wir setzen geeignete technische und organisatorische Maßnahmen (TOMs) ein, um ein dem Risiko angemessenes Schutzniveau gemäß Art. 32 DSGVO zu gewährleisten:
Die Anwendung verwendet ausschließlich technisch notwendige Cookiesfür die Authentifizierung und Sitzungsverwaltung. Es werden keine Tracking-, Marketing- oder Analyse-Cookies eingesetzt.
| Cookie | Zweck | Speicherdauer |
|---|---|---|
| Supabase Auth Cookies | Authentifizierung und Sitzungsverwaltung | Session / gemäß Konfiguration |
| admin_context_company_id | Speicherung der ausgewählten Firma für Organisationsrollen mit mehreren Firmen | 1 Jahr oder bis zum Wechsel der Auswahl |
| NEXT_LOCALE | Spracheinstellung | Bis zum Schließen des Browsers |
| boltwork_sperrgrund | Hinweis, warum eine Anmeldung abgewiesen wurde (nur in diesem Fall) | 60 Sekunden |
Im lokalen Speicher Ihres Browsers (Local Storage) legt die Anwendung außerdem folgende Einträge ab. Sie verlassen Ihr Gerät nicht, sofern nicht anders angegeben, und werden entfernt, wenn Sie die Websitedaten Ihres Browsers löschen:
Nur für die Dauer des geöffneten Browserfensters (Session Storage) merkt sich die Anwendung unter boltwork_zweiter_faktor_hinweis, dass Sie den Hinweis zum zweiten Faktor geschlossen haben.
Zusätzlich speichert das Barrierefreiheits-Panel (Schaltfläche unten links) die Darstellungseinstellungen, die Sie dort selbst wählen – etwa Schriftgröße oder Kontrast –, im lokalen Speicher Ihres Browsers (Local Storage, Eintrag „growcore.a11y“). Der Eintrag entsteht erst, wenn Sie eine Einstellung ändern, verlässt Ihr Gerät nicht und wird nicht an uns übertragen. Er wird entfernt, wenn Sie im Panel „Alles zurücksetzen“ wählen oder die Websitedaten Ihres Browsers löschen.
Da ausschließlich technisch notwendige Cookies verwendet werden, ist keine gesonderte Einwilligung gemäß § 25 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz) erforderlich.
Datenbank und Anwendung laufen in Rechenzentren in Frankfurt am Main. Supabase, Inc. und Vercel, Inc. haben ihren Sitz in den USA; ein Zugriff von dort ist nicht ausgeschlossen. Dafür stellen wir geeignete Garantien gemäß Art. 44 ff. DSGVO sicher (insbesondere Standardvertragsklauseln oder den Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework). Weitere Übermittlungen in Drittländer entstehen nur, wenn eine berechtigte Person den Kartenlink öffnet (Abschnitt 4.2a) oder Sie selbst Ihr Kalender-Abo in das Programm eines Anbieters außerhalb der EU eintragen (Abschnitt 4.13).
Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen, Gerichtsentscheidungen oder an Änderungen unserer Datenverarbeitung anzupassen. Die jeweils aktuelle Fassung ist stets über die Anwendung abrufbar.
Bei Fragen zum Datenschutz, zur Ausübung Ihrer Betroffenenrechte oder bei sonstigen datenschutzrechtlichen Anliegen erreichen Sie uns unter:
E-Mail: info@galdora.de
© 2026 Boltwork Software.
Gilt nur für dich, auf diesem Gerät. Bleibt beim nächsten Besuch erhalten.