Stand: November 2026
Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und anderer nationaler Datenschutzgesetze sowie sonstiger datenschutzrechtlicher Bestimmungen ist:
Galdora Personalmanagement GmbH & Co. KG
Volksgartenstr. 85-89
41065 Mönchengladbach
Deutschland
E-Mail: info@galdora.de
Boltwork ist eine webbasierte Arbeitszeiterfassungs- und Schichtplanungssoftware. In diesem Rahmen verarbeiten wir personenbezogene Daten unserer Nutzer (Mitarbeiter, Teamleiter bzw. Administratoren der jeweiligen Unternehmen). Die nachfolgende Übersicht fasst die Arten der verarbeiteten Daten zusammen:
Die Verarbeitung personenbezogener Daten erfolgt nur auf Grundlage einer gesetzlichen Erlaubnis. Es kommen insbesondere folgende Rechtsgrundlagen in Betracht:
Bei der Registrierung (ausschließlich per Einladungslink) werden folgende Daten erhoben: E-Mail-Adresse, Vorname, Nachname, Geburtsdatum und ein selbstgewähltes Passwort. Die Authentifizierung erfolgt über Supabase Auth. Passwörter werden ausschließlich als kryptografische Hashes gespeichert und sind nicht im Klartext einsehbar.
Zusätzlich können Sie freiwillig eine sechsstellige PIN für die Schnellanmeldung festlegen. Sie wird ausschließlich als bcrypt-Hash gespeichert. Zur Absicherung gegen Erraten werden fehlgeschlagene Versuche gezählt und der Zugang nach fünf Fehlversuchen für 15 Minuten gesperrt.
Zweck des Geburtsdatums: Es dient der eindeutigen Zuordnung in der Personalverwaltung und der Lohnabrechnung. Zusätzlich zeigt die Anwendung Führungskräften einen Geburtstagshinweis inklusive des erreichten Alters an. Wenn Sie diesen Hinweis nicht wünschen, können Sie der Anzeige nach Art. 21 DSGVO widersprechen; wenden Sie sich dazu an die in Abschnitt 1 genannte Stelle.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, § 26 Abs. 1 BDSG (Durchführung des Beschäftigungsverhältnisses)
Zweiter Faktor: Wer eine Organisationsrolle hat (Teamleitung, Recruiter, Administration; Buchhaltung, wenn das Unternehmen es eingeschaltet hat) und auf Daten anderer Personen zugreift, muss den Zugang einmal je Sitzung zusätzlich bestätigen – wahlweise mit einer Authenticator-App oder mit einem sechsstelligen Einmalcode, den wir per E-Mail senden. Ein Einmalcode ist zehn Minuten gültig und wird nur als Hash gespeichert, ebenso die zehn einmal verwendbaren Wiederherstellungscodes für den Fall, dass das Telefon verloren geht. Gespeichert werden außerdem, welcher Weg eingerichtet ist, sowie für jede bestätigte Sitzung der Zeitpunkt und der verwendete Weg; eine Bestätigung gilt zwölf Stunden. Die Einrichtung einer Authenticator-App wird von Supabase Auth verwaltet.
Geräte für die PIN-Anmeldung: Richten Sie auf einem Gerät die PIN-Anmeldung ein, erhält dieses Gerät ein Zufallsgeheimnis. Es liegt im lokalen Speicher Ihres Browsers; bei uns wird nur sein Hash gespeichert, zusammen mit einer groben, aus der Browserkennung abgeleiteten Bezeichnung (etwa „Safari auf iPhone“), dem Einrichtungszeitpunkt und dem Zeitpunkt der letzten Nutzung. In den Einstellungen sehen Sie diese Geräte und können jedes davon widerrufen.
Schutz vor Anmeldeversuchen: Um das Erraten von PINs und massenhafte Anfragen zum Zurücksetzen des Passworts zu verhindern, zählen wir Versuche je IP-Adresse und – beim Zurücksetzen des Passworts – je E-Mail-Adresse in Zeitfenstern von einer Stunde. Diese Zähler werden nach 24 Stunden gelöscht.
Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 32 DSGVO (Sicherheit der Verarbeitung), Art. 6 Abs. 1 lit. f DSGVO (Schutz der Konten und der darin gespeicherten Beschäftigtendaten)
Die Kernfunktion der Anwendung ist die Erfassung von Arbeitszeiten. Dabei werden folgende Daten verarbeitet:
Rechtsgrundlage: Art. 6 Abs. 1 lit. b, c DSGVO; § 16 Abs. 2 ArbZG; § 26 BDSG
Die Anwendung kann so eingestellt werden, dass beim Einstempeln, beim Ausstempeln oder bei beidem der Standort des Geräts abgefragt wird. Diese Einstellung ist nicht automatisch aktiv: sie wird pro Unternehmen und optional abweichend pro Person festgelegt. Ist sie für Sie nicht aktiv, werden keinerlei Standortdaten erhoben.
Die Abfrage kann auf zwei Arten eingestellt sein:
Ist sie aktiv, werden zum Zeitpunkt des jeweiligen Stempelvorgangs verarbeitet:
Zweck: Nachweis, dass die Arbeitszeit am vereinbarten Einsatzort begonnen bzw. beendet wurde. Die Erfassung erfolgt ausschließlich im Moment des Stempelns – es findet keine laufende Ortung, keine Bewegungsverfolgung und keine Erfassung während der Arbeitszeit oder in Pausen statt.
Wer die Daten sieht: Sie selbst – in Ihren Zeiteinträgen und unter „Meine Analysen“ – sowie Ihre Führungskraft, ein zuständiger Recruiter oder ein Administrator Ihres Unternehmens, also dieselben Personen, die auch Ihre Arbeitszeiten sehen. Der Zugriff wird durch Berechtigungsregeln auf Datenbankebene erzwungen.
Auswertung als Karte: Dieselben Personen können die erfassten Standorte eines Zeitraums zusammengefasst als Karte (Heatmap) ansehen: an welchen Orten wie häufig ein- bzw. ausgestempelt wurde, auch für einzelne Personen. Zweck ist ein Überblick über die tatsächlichen Einsatzorte, etwa für die Einsatzplanung und den Nachweis gegenüber Kundenunternehmen. Dafür werden keine zusätzlichen Daten erhoben; ausgewertet werden nur die Standorte der Stempelvorgänge. Die Karte selbst kommt von unserem eigenen Speicher bei Supabase in Frankfurt (Kartendaten © OpenStreetMap-Mitwirkende); beim Anzeigen geht keine Anfrage an einen Kartendienst. Ihre eigenen Standorte sehen Sie in derselben Darstellung unter „Meine Analysen“.
Übermittlung an Google: Zur Anzeige eines einzelnen Standorts bietet die Oberfläche zusätzlich einen Link zu Google Maps (Google Ireland Limited). Wird dieser Link angeklickt, werden die betreffenden Koordinaten und die IP-Adresse der klickenden Person an Google übermittelt; dabei können Daten in die USA übermittelt werden (Grundlage: Angemessenheitsbeschluss EU-U.S. Data Privacy Framework, Art. 45 DSGVO). Ohne Klick findet keine Übermittlung statt – die Koordinaten selbst werden ausschließlich in unserer Datenbank in der EU gespeichert.
Rechtsgrundlage: § 26 Abs. 1 BDSG in Verbindung mit Art. 6 Abs. 1 lit. b, f DSGVO. Die Erhebung ist auf die Stempelvorgänge begrenzt, weil eine weitergehende Ortung zur Erfüllung des Zwecks nicht erforderlich wäre.
Mitbestimmung: Die Standortpflicht ist eine technische Einrichtung, die geeignet ist, Verhalten oder Leistung von Beschäftigten zu überwachen. Ihre Einführung und Nutzung unterliegt daher – soweit ein Betriebsrat besteht – der Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG. Das gilt ebenso für die Auswertung als Karte. Maßgeblich ist die im Unternehmen geltende Betriebsvereinbarung bzw. Regelung.
Widerspruch: Sie können der Verarbeitung nach Art. 21 DSGVO widersprechen. Da die Standortangabe in diesem Fall dem Nachweis der Arbeitszeit dient, klärt Ihr Arbeitgeber mit Ihnen ein geeignetes anderes Nachweisverfahren.
Ihr Unternehmen kann am Einsatzort ein Stempel-Terminal aufstellen (z. B. ein Tablet am Eingang). Dort stempeln Sie mit einer sechsstelligen Terminal-PIN, die Sie selbst wählen. Gespeichert wird von der PIN nur ein nicht umkehrbarer Prüfwert; niemand im Unternehmen kann sie einsehen. Die Terminal-PIN öffnet kein Konto, sie dient nur dem Stempeln am Gerät Ihres Einsatzbetriebs.
Beim Stempeln am Terminal werden verarbeitet:
Am Terminal wird kein Standort erhoben – das Gerät steht fest vor Ort. Ihr Vorname erscheint nach dem Stempeln nur für wenige Sekunden.
Ohne Internetverbindung hält das Terminal den Stempel fest und überträgt ihn, sobald die Verbindung wieder steht. Bis dahin liegt er auf dem Gerät: PIN und Foto so verschlüsselt, dass nur unser Server sie lesen kann, daneben nur Art und Zeitpunkt des Vorgangs. Nach spätestens 30 Tagen ohne Verbindung wird er dort gelöscht. Stempel, die nicht von selbst gebucht werden können (etwa bei falsch getippter PIN oder sehr später Übertragung), prüft die Teamleitung Ihres Einsatzbetriebs; das Foto dazu wird spätestens 30 Tage nach Eingang gelöscht, der Eingangsvermerk eines erledigten Stempels nach 90 Tagen.
Wer die Fotos sieht: Sie selbst sowie Administration, Teamleitung und Personalbetreuung Ihres Einsatzbetriebs, jeweils nach Anmeldung mit zweitem Faktor. Die Buchhaltung sieht keine Fotos. Die Fotos werden 30 Tage nach der Freigabe der jeweiligen Arbeitswoche automatisch gelöscht, spätestens nach 90 Tagen. Ist die Kamera nicht verfügbar, gilt der Stempel trotzdem und wird als „ohne Foto“ gekennzeichnet.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO (Erfassung der Arbeitszeit) sowie für das Foto Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist ein verlässlicher Arbeitszeitnachweis ohne Stempeln für Dritte. Gilt in Ihrem Betrieb eine Betriebsvereinbarung zum Terminal, ist diese Rechtsgrundlage (Art. 88 DSGVO, § 26 Abs. 4 BDSG).
Mitbestimmung: Das Terminal mit Foto ist eine technische Einrichtung im Sinne von § 87 Abs. 1 Nr. 6 BetrVG. Besteht ein Betriebsrat, unterliegt seine Einführung dessen Mitbestimmung; bei Arbeitnehmerüberlassung kann der Betriebsrat des Einsatzbetriebs zuständig sein.
Widerspruch: Sie können der Verarbeitung des Fotos nach Art. 21 DSGVO widersprechen; Ihr Arbeitgeber klärt mit Ihnen dann ein anderes Nachweisverfahren (z. B. Stempeln mit dem eigenen Konto).
Teamleiter und Administratoren können Arbeitsschichten planen und Mitarbeitern zuweisen. Dabei werden Datum, Start-/Endzeit, Schichttyp und optionale Notizen gespeichert.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, Art. 6 Abs. 1 lit. f DSGVO (Betriebsorganisation)
Abwesenheiten (Urlaub, auch halbe Tage, Krankheit, Wunschfrei, Freischicht, Freizeitausgleich) werden beantragt oder von der Teamleitung eingetragen; zusätzlich kann die Teamleitung unentschuldigtes Fehlen vermerken. Gespeichert werden: Art der Abwesenheit, Zeitraum, optionale Begründung, Status der Genehmigung und Entscheider. Abwesenheitsanträge und -entscheidungen können automatisierte E-Mail-Benachrichtigungen auslösen.
Krankheitstage: Gespeichert wird nur, dass und wannSie arbeitsunfähig waren – keine Diagnose. Auch diese Angabe ist ein Gesundheitsdatum im Sinne von Art. 9 DSGVO.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, § 26 BDSG; für Krankheitstage Art. 9 Abs. 2 lit. b DSGVO i. V. m. § 26 Abs. 3 BDSG (Pflichten aus dem Arbeitsrecht, insbesondere Entgeltfortzahlung)
Für einzelne Tage können Mitarbeiter Wunschfrei beantragen; die Teamleitung entscheidet darüber, und aus einem genehmigten Wunsch wird eine Freischicht. Dauerhaft freie Wochentage hinterlegt ausschließlich die Teamleitung in den Stammdaten. Beides wird bei der Schichtplanung angezeigt, um Konflikte zu vermeiden; eine Wirkung auf Urlaubsanspruch, Krankheitstage oder Arbeitszeitkonto hat es nicht.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO
Die Anwendung berechnet automatisch das Überstundensaldo basierend auf den erfassten Arbeitszeiten und den individuell hinterlegten Soll-Wochenstunden. Ist ein Gleitzeitkonto eingerichtet, werden Buchungen darauf (Art, Umfang, Wirksamkeitsdatum, Grund, Antrag und Entscheidung) gespeichert.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b, c DSGVO; § 16 Abs. 2 ArbZG
Zu Compliance- und Nachvollziehbarkeitszwecken wird ein unveränderliches Audit-Log geführt: Jede Handlung, die Daten verändert, hinterlässt dort einen Eintrag. Protokolliert werden insbesondere:
Jeder Protokolleintrag enthält: die Art der Aktion, die betroffene Entität und – soweit eine Person betroffen ist – diese Person, die ID des Handelnden, die Unternehmens-ID, den Zeitstempel sowie ein Detailobjekt mit Vorher-/Nachher-Werten und ggf. einer Begründung. Einsehen können das Protokoll die Organisationsrollen Ihres Unternehmens und Administratoren. Einträge, die Ihre eigenen Daten betreffen, sehen Sie selbst im Änderungsverlauf.
Rechtsgrundlage: Art. 6 Abs. 1 lit. c, f DSGVO (gesetzliche Aufbewahrungspflichten, berechtigtes Interesse an der Nachvollziehbarkeit)
Bei bestimmten Ereignissen versendet die Anwendung automatisierte E-Mails. Alle E-Mails – auch die zur Anmeldung – gehen über den E-Mail-Server unseres Postfach-Anbieters IONOS (SMTP); Supabase Auth erzeugt dafür nur den Link und versendet selbst nichts:
Hierbei werden die für die jeweilige Benachrichtigung erforderlichen Daten (Name, E-Mail, Firmenname, Art und Zeitraum der Abwesenheit) an den E-Mail-Server übermittelt, der die Nachricht an den Empfänger ausliefert. Ein zusätzlicher Automatisierungsdienst ist daran nicht mehr beteiligt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b, f DSGVO
Innerhalb der Anwendung werden Benachrichtigungen angezeigt (z. B. über offene Bestätigungen oder Statusänderungen). Diese sind an die Nutzer-ID gebunden und können vom Nutzer als gelesen markiert werden.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b, f DSGVO
Nutzer können ihre Arbeitszeitdaten als CSV- oder PDF-Datei (Stundenzettel) exportieren. Der Export enthält: Datum, Start-/Endzeit, Pausen, Nettoarbeitszeit und Notizen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, Art. 15 Abs. 3 DSGVO (Recht auf Kopie)
Sie können freiwillig ein Profilbild hochladen; ein Zuschnitt-Werkzeug in der Anwendung bestimmt den sichtbaren Ausschnitt. Das Bild erscheint in Ihrem Profil sowie überall, wo Ihr Name in der Anwendung auftaucht (Team-Übersicht, Kalender, Aufgaben, Mitteilungen). Ein Profilbild ist für keine Funktion erforderlich und kann jederzeit in den Einstellungen entfernt werden.
Die Dateien liegen im Speicher unseres Datenbankanbieters in der EU und sind nicht öffentlich abrufbar: Jeder Bildaufruf läuft über die Anwendung und setzt eine gültige Anmeldung voraus. Wird ein Konto deaktiviert, ist auch das Bild nicht mehr abrufbar.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch freiwilligen Upload), im Übrigen Art. 6 Abs. 1 lit. f DSGVO (Erkennbarkeit im Team). Die Einwilligung ist jederzeit durch Entfernen des Bildes widerrufbar.
Über „Meine Daten“ können Sie eine Änderung Ihres Vor- und Nachnamens, Ihres Geburtsdatums oder Ihrer dauerhaft freien Tage beantragen. Gespeichert werden die vorgeschlagenen Werte, der Stand zum Zeitpunkt des Antrags, Ihre Begründung, der Status sowie wer wann entschieden hat und mit welcher Notiz. Der Antrag wird Teil Ihrer Personalunterlagen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b, c DSGVO, § 26 Abs. 1 BDSG; Art. 16 DSGVO (Recht auf Berichtigung)
Auf Wunsch erzeugen Sie in den Einstellungen eine persönliche Kalenderadresse, die Ihr Kalenderprogramm regelmäßig abruft. Sie liefert ausschließlich Ihre eigenen Daten: Ihre geplanten Schichten (Datum, Uhrzeit, Schichtart, Notiz und als Ort die Anschrift Ihres Einsatzunternehmens) und Ihre genehmigten Abwesenheiten mit ihrer Art – also auch Krankheitstage –, jeweils von 60 Tagen zurück bis 400 Tage voraus.
Übermittlung durch Sie selbst: Mit dem Eintragen der Adresse in ein Kalenderprogramm übermitteln Sie diese Daten an dessen Anbieter, den Sie selbst wählen. Häufig sind das Google, Apple oder Microsoft; dabei können Daten in die USA gelangen. Für die Verarbeitung dort ist der jeweilige Anbieter verantwortlich, nicht wir. Wer die Adresse kennt, kann den Kalender abrufen – geben Sie sie daher nicht weiter.
Bei uns gespeichert werden nur ein Hash der Adresse, der Erstellungszeitpunkt, der Zeitpunkt des letzten Abrufs und ggf. der Zeitpunkt des Widerrufs. Mit dem Widerruf in den Einstellungen ist die Adresse sofort ungültig.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einrichtung auf eigenen Wunsch, jederzeit widerrufbar); für die enthaltenen Krankheitstage Art. 9 Abs. 2 lit. a DSGVO
Über „Fehler melden“ können Sie der Administration ein Problem schildern. Gespeichert werden die betroffene Seite, eine Kategorie, Ihre Beschreibung, ein optional angehängtes Bildschirmfoto, die Geräteart (etwa Handy oder Desktop), Ihr Konto und Ihr Unternehmen. Achten Sie darauf, dass ein Bildschirmfoto keine Daten anderer Personen zeigt, die für die Meldung nicht nötig sind.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Betrieb und Verbesserung der Anwendung)
Tritt in der Anwendung ein technischer Fehler auf, meldet sie ihn automatisch an den Dienst Sentry, damit wir ihn schnell finden und beheben können. Übermittelt werden nur Angaben zum Fehler: Fehlerart und Fehlermeldung, die betroffene Stelle im Programmcode, die aufgerufene Seite ohne angehängte Parameter, Browser und Betriebssystem, Zeitpunkt und Programmversion. Bei den zeitgesteuerten Hintergrundaufgaben wird zusätzlich gemeldet, ob ein Lauf stattgefunden hat und erfolgreich war.
Nicht übermittelt werden Ihr Name, Ihr Konto, Ihre Eingaben in Formulare, Arbeitszeiten, Standortdaten, Cookies und Ihre IP-Adresse. E-Mail-Adressen und Koordinaten, die in einer Fehlermeldung vorkommen, werden vor dem Versand unkenntlich gemacht. Ihr Browser sendet die Meldung an unseren eigenen Server, nicht direkt an Sentry; auf Ihrem Gerät wird dafür nichts gespeichert. Gespeichert werden die Meldungen in der EU-Region von Sentry (Deutschland) und spätestens nach 90 Tagen gelöscht.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem fehlerfreien und sicheren Betrieb der Anwendung)
Neue Nutzer erhalten eine Einladung als Link oder als QR-Code. Beides führt zur Registrierung eines eigenen Kontos; jede Person meldet sich anschließend mit ihrem eigenen Zugang an. Gespeichert werden die E-Mail-Adresse (sofern angegeben), vorgesehene Rolle, Firma und Personalnummer, die einladende Person, ein Einladungstoken, dessen Ablaufdatum und der Zeitpunkt der Annahme.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, § 26 Abs. 1 BDSG
Unternehmen, die Boltwork nutzen möchten, können auf der Startseite eine Zugangsanfrage stellen. Pflichtangaben sind Unternehmen, Ansprechpartner und E-Mail-Adresse; Telefonnummer, Teamgröße und eine Nachricht sind freiwillig. Die Angaben werden nicht in der Datenbank gespeichert, sondern per E-Mail an unseren Vertrieb geschickt; Sie erhalten eine Eingangsbestätigung. Zum Schutz vor massenhaften Anfragen wird Ihre IP-Adresse für eine Stunde im Arbeitsspeicher des Servers gezählt und danach verworfen.
Zusätzlich prüft unser Hosting-Anbieter Vercel beim Absenden, ob die Anfrage von einem Menschen oder von einem automatisierten Programm stammt (Vercel BotID). Dazu führt Ihr Browser auf der Startseite ein Prüfskript aus, das technische Merkmale von Browser und Gerät auswertet; das Ergebnis wird mit der Anfrage übermittelt und nur für diese Prüfung verwendet. Die Prüfung läuft über unsere eigene Domain, ein weiterer Dienstleister ist nicht beteiligt. Der Zugriff auf Ihr Endgerät ist für den von Ihnen gewünschten Versand der Anfrage unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anbahnung eines Vertrags), Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch des Formulars)
Personen mit der Rolle Teamleitung, Recruiter, Buchhaltung oder Administration können über das Fragezeichen in der Kopfzeile einen Verbesserungsvorschlag direkt an eine Stelle einer Seite heften, als kurzen Text oder als eingekreisten Bereich. Gespeichert werden Ihr Text, die Adresse der Seite, die Lage der Markierung relativ zu einem benannten Bereich der Seite, die Fensterbreite, Ihr Name und Ihre Konto-Kennung, der Zeitpunkt sowie Antworten und ob der Vorschlag erledigt ist. Es wird kein Bildschirmfoto und kein Seiteninhalt gespeichert. Eine KI wird für die Vorschläge selbst nicht eingesetzt.
Die Vorschläge liegen nicht in Boltwork, sondern in Galdora Network, einer weiteren Anwendung des Verantwortlichen, in der Vorschläge aus mehreren Anwendungen gesammelt und bearbeitet werden (Datenbank bei Supabase in Frankfurt am Main). Dort lesen sie die Administration und die Inhaber von Galdora Network. In Boltwork sehen Sie Ihre eigenen Vorschläge und die der Personen, deren Daten Sie in Boltwork ohnehin sehen dürfen, samt den Antworten darauf. Bitte tragen Sie keine Namen, Krankheits- oder Zeitangaben anderer Personen ein.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Verbesserung der Anwendung). Die Nutzung ist freiwillig.
Personen mit der Rolle Teamleitung, Recruiter, Buchhaltung oder Administration sehen am Computer bei geöffneter Leiste den Knopf „KI-Assistent“. Dort können sie Fragen zur Bedienung von Boltwork stellen. Die Antworten erzeugt eine künstliche Intelligenz (Claude von Anthropic). Sie antwortet nur aus einer von uns verfassten Beschreibung der Anwendung und hat keinen Zugriff auf Daten in Boltwork, also weder auf Zeiten noch auf Abwesenheiten oder Personalakten. Ihr Name wird nicht übermittelt.
Übermittelt werden der Text Ihrer Frage, die vorherigen Fragen und Antworten desselben Gesprächs, die Adresse der Seite, auf der Sie fragen, und die Namen der dort markierten Bereiche (etwa „Seiteninhalt“, kein Seitentext). Diese Angaben gehen an den Projektraum von LennyHelps, der die Anwendung für uns betreut, und von dort an Anthropic. Anthropic verarbeitet die Anfrage in den USA; deshalb fragt das Fenster vor der ersten Frage nach Ihrer Einwilligung. Der Projektraum speichert den Text der Frage, die Antwort der KI und die Seitenadresse 90 Tage, um die Hilfe zu verbessern. Haben Sie die Antwort mit dem Daumen bewertet, wird auch das gespeichert. Der Gesprächsverlauf liegt sonst nur in Ihrem Browser und ist nach dem Schließen des Reiters weg. Bitte stellen Sie Fragen ohne Namen, Gesundheits- oder Zeitangaben von Personen. Antworten einer KI können falsch sein.
Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, für die Übermittlung in die USA Art. 49 Abs. 1 lit. a DSGVO). Sie können sie jederzeit widerrufen, indem Sie die KI-Hilfe nicht mehr nutzen und die Website-Daten Ihres Browsers löschen. Die Nutzung ist freiwillig.
Personen mit der Rolle Teamleitung, Recruiter oder Administration können auf der Seite „Frag Boltwork (KI)“ einer künstlichen Intelligenz (Gemini von Google) Fragen zu Urlaubskonto, Arbeitszeiten eines Monats, Gleitzeitkonto und Abwesenheiten stellen: zu ihren eigenen Daten und zu den Daten der Beschäftigten, die sie in Boltwork verwalten und dort ohnehin einsehen dürfen. Die KI stellt diese Daten nur zusammen. Sie bewertet keine Personen, erstellt keine Ranglisten oder Vergleiche zwischen Personen, sucht keine Muster bei Krankheit und ändert nichts in Boltwork.
Namen werden nicht übermittelt. Personen werden in der Frage ausgewählt und gegenüber der KI nur durch einen Platzhalter bezeichnet (etwa „P1“), der je Gespräch neu vergeben wird; den Namen setzt erst Ihr Browser wieder ein. Frei eingetippte Namen, E-Mail-Adressen, Telefon- und Personalnummern entfernt Boltwork vor dem Senden. Übermittelt werden der so bereinigte Text der Frage, die vorherigen Fragen und Antworten desselben Gesprächs und die Daten, die die KI für die Antwort abruft – etwa Zahl der Urlaubstage, Kommen- und Gehen-Zeiten, Pausen, Stundensummen und die Art einer Abwesenheit (auch „Krankheit“) mit Datum. Nicht übermittelt werden Namen, Notizen, Begründungen, Standortdaten, Fotos, Kontaktdaten und der Name des Unternehmens. Vor jeder Abfrage prüft Boltwork, ob die fragende Person die Daten sehen darf.
Protokoll und Einsicht. Jede Abfrage über eine andere Person wird im Audit-Log (Abschnitt 4.7) festgehalten: wann, durch wen, zu welchem Bereich und Zeitraum. Der Inhalt der Frage und der Antwort wird nicht gespeichert. Wann die KI nach Ihren Daten gefragt wurde, sehen Sie selbst unter „Einstellungen → Meine Daten“, mit Bereich, Zeitraum und der Rolle der fragenden Person.
Das Modell läuft bei Google Cloud (Vertex AI) in der Europäischen Union(Multiregion EU). Google speichert die Anfragen nicht zum Training. Boltwork speichert keine Fragen und keine Antworten; der Gesprächsverlauf liegt nur in Ihrem Browser und ist nach dem Neuladen weg. Neben dem Protokoll oben wird nur gespeichert, wie viele Anfragen und Rechenmengen im Monat angefallen sind, ohne Bezug zu einer Person, um die Kosten zu begrenzen. Antworten einer KI können falsch sein; jede Zahl lässt sich in Boltwork nachprüfen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO in Verbindung mit § 26 Abs. 1 BDSG (Durchführung des Beschäftigungsverhältnisses: Auskunft über die eigenen Arbeitszeiten, Urlaubs- und Einsatzplanung, Kontrolle der Arbeitszeiten durch die Vorgesetzten), für Krankheitstage Art. 9 Abs. 2 lit. b DSGVO in Verbindung mit § 26 Abs. 3 BDSG. Die Nutzung ist freiwillig; alle Angaben stehen auch ohne KI in Boltwork (eigene Daten unter „Meine Zeiten“, „Meine Analysen“ und „Abwesenheiten“, Daten des Teams unter „Team & Management“).
Im Rahmen des Betriebs der Anwendung setzen wir folgende Dienste ein, an die personenbezogene Daten übermittelt werden:
| Dienst | Anbieter | Zweck | Serverstandort |
|---|---|---|---|
| Supabase | Supabase, Inc. | Datenbank, Authentifizierung, Dateispeicher, Echtzeit-Updates, Kartendaten der Standort-Karte | EU (Frankfurt am Main) |
| Vercel | Vercel, Inc. | Hosting der Web-Applikation (Next.js), zeitgesteuerte Hintergrundaufgaben | EU (Frankfurt am Main); Unternehmenssitz USA (DPF) |
| IONOS | IONOS SE, Montabaur | E-Mail-Postfach und Versand aller E-Mails der Anwendung (SMTP) | Deutschland |
| Galdora Network | Galdora Personalmanagement GmbH & Co. KG (eigene Anwendung) | Sammelplatz der Verbesserungsvorschläge (siehe Abschnitt 4.17) | EU (Supabase, Frankfurt am Main) |
| Projektraum von LennyHelps | LennyHelps, Lennard Kuß | Weiterleitung der Fragen an die KI-Hilfe, Speicherung von Frage und Antwort für 90 Tage (siehe Abschnitt 4.18) | EU (Frankfurt am Main) |
| Anthropic (Claude) | Anthropic, PBC, San Francisco | Antworten der KI-Hilfe (siehe Abschnitt 4.18), nur nach Einwilligung | USA |
| Google Cloud | Google Cloud EMEA Limited, Dublin (Vertex AI); Modell Gemini von Google | Antworten von Frag Boltwork (siehe Abschnitt 4.19), ohne Namen | EU (Multiregion) |
| Sentry | Functional Software, Inc. (Sentry), San Francisco, im Auftrag von LennyHelps | Automatische Fehlerüberwachung (siehe Abschnitt 4.14a) | EU (Deutschland); Unternehmenssitz USA |
| Google Maps | Google Ireland Limited | Kartenanzeige eines einzelnen erfassten Stempel-Standorts – nur bei aktivem Klick auf den Link, keine Einbettung in die Anwendung (siehe Abschnitt 4.2a) | Irland / USA (DPF) |
Weitere Dienste, etwa zur Reichweitenmessung, setzen wir nicht ein.
Google Maps ist nicht in die Anwendung eingebettet: es wird kein Skript und keine Karte von Google geladen. Übermittelt wird nur, wenn jemand den Kartenlink ausdrücklich öffnet. Die Standort-Karte in den Auswertungen stammt nicht von Google, sondern aus unserem eigenen Speicher (OpenStreetMap-Daten bei Supabase).
Mit unseren beiden Infrastruktur-Anbietern bestehen Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO, jeweils einschließlich der EU-Standardvertragsklauseln: Data Processing Addendum von Supabase und Data Processing Addendum von Vercel.
Mit allen weiteren Auftragsverarbeitern wurden bzw. werden Auftragsverarbeitungsverträge (AVV) gemäß Art. 28 DSGVO geschlossen. Bei einer Datenübermittlung in Drittländer (z. B. USA) werden geeignete Garantien wie Standardvertragsklauseln (SCCs) gem. Art. 46 Abs. 2 lit. c DSGVO oder eine Angemessenheitsentscheidung gem. Art. 45 DSGVO (EU-U.S. Data Privacy Framework) sichergestellt.
Personenbezogene Daten werden nur so lange gespeichert, wie es für die Erfüllung des jeweiligen Zwecks erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen:
| Datenart | Speicherdauer | Grundlage |
|---|---|---|
| Arbeitszeitdaten | Mindestens 2 Jahre | § 16 Abs. 2 ArbZG |
| Fotos am Stempel-Terminal | 30 Tage nach der Freigabe der Arbeitswoche, spätestens 90 Tage nach der Aufnahme (automatische Löschung) | Art. 6 Abs. 1 lit. f DSGVO, Art. 5 Abs. 1 lit. e DSGVO |
| Lohnrelevante Unterlagen | 6 Jahre (handelsrechtlich) / 10 Jahre (steuerrechtlich) | § 257 HGB, § 147 AO |
| Audit-Log-Einträge | Keine automatische Löschung: Die Einträge werden zu Nachweiszwecken aufbewahrt, solange das Konto bzw. das Vertragsverhältnis und gesetzliche Nachweispflichten bestehen. Wird ein Konto gelöscht, bleibt der Eintrag erhalten; nur seine Verknüpfung zum Konto entfällt. | Art. 6 Abs. 1 lit. c, f DSGVO |
| Änderungsanträge zu Stammdaten | Als Teil der Personalunterlagen bis zu 10 Jahre; sie werden zusammen mit der Personalakte gelöscht, nicht vorher und nicht getrennt von ihr | § 147 AO, § 26 BDSG |
| Kalender-Abo (Hash, Zeitpunkte) | Bis zur Löschung des Kontos; die Adresse ist ab dem Widerruf ungültig, der Eintrag bleibt als Nachweis des Widerrufs | Art. 6 Abs. 1 lit. a, f DSGVO |
| Wiederherstellungscodes (Hash) | Bis zur Erzeugung eines neuen Satzes – dann werden alle bisherigen gelöscht – oder bis zur Löschung des Kontos | Art. 32 DSGVO |
| Einmalcodes und bestätigte Sitzungen des zweiten Faktors | Gültig 10 Minuten bzw. 12 Stunden; abgelaufene Einträge werden derzeit erst mit der Löschung des Kontos entfernt | Art. 32 DSGVO |
| Für die PIN-Anmeldung eingerichtete Geräte | Bis zur Löschung des Kontos; ein widerrufenes Gerät bleibt als Nachweis des Widerrufs vermerkt | Art. 32 DSGVO |
| Zähler von Anmelde- und Rücksetzversuchen (IP- bzw. E-Mail-Adresse) | 24 Stunden | Art. 6 Abs. 1 lit. f DSGVO |
| Fehlermeldungen | Bis zur Löschung durch die Administration | Art. 6 Abs. 1 lit. f DSGVO |
| Automatische Fehlermeldungen (Sentry) | Höchstens 90 Tage | Art. 6 Abs. 1 lit. f DSGVO |
| Verbesserungsvorschläge (Anmerkungen) | Bis zur Löschung durch Sie selbst (eigene Vorschläge) oder durch die Administration; erledigte Vorschläge werden derzeit nicht automatisch gelöscht | Art. 6 Abs. 1 lit. f DSGVO |
| Zugangsanfragen (E-Mail im Postfach des Vertriebs) | Bis zur Erledigung der Anfrage; kommt ein Vertrag zustande, gelten die handels- und steuerrechtlichen Fristen | Art. 6 Abs. 1 lit. b DSGVO, § 257 HGB, § 147 AO |
| Benutzerkonten | Bis zur Deaktivierung + gesetzliche Aufbewahrungsfrist | § 26 BDSG |
| Standortdaten der Stempelvorgänge | Wie der zugehörige Arbeitszeitdatensatz, mindestens 2 Jahre | § 16 Abs. 2 ArbZG, § 26 Abs. 1 BDSG |
| Geburtsdatum | Bis zur Löschung des Benutzerkontos | § 26 Abs. 1 BDSG |
| PIN (bcrypt-Hash) | Bis zum Zurücksetzen oder zur Löschung des Kontos | Art. 6 Abs. 1 lit. b, f DSGVO |
| Profilbild | Bis zum Ersetzen oder Entfernen durch die Person selbst | Art. 6 Abs. 1 lit. a, f DSGVO |
| Einladungslinks | Bis zur Annahme oder Ablauf (konfigurierbar) | Art. 6 Abs. 1 lit. b DSGVO |
Als betroffene Person stehen Ihnen gemäß der DSGVO folgende Rechte zu:
Zur Ausübung Ihrer Rechte wenden Sie sich bitte an die oben genannte Kontaktadresse.
Wir setzen geeignete technische und organisatorische Maßnahmen (TOMs) ein, um ein dem Risiko angemessenes Schutzniveau gemäß Art. 32 DSGVO zu gewährleisten:
Die Anwendung verwendet ausschließlich technisch notwendige Cookiesfür die Authentifizierung und Sitzungsverwaltung. Es werden keine Tracking-, Marketing- oder Analyse-Cookies eingesetzt.
| Cookie | Zweck | Speicherdauer |
|---|---|---|
| Supabase Auth Cookies | Authentifizierung und Sitzungsverwaltung | Session / gemäß Konfiguration |
| admin_context_company_id | Speicherung der ausgewählten Firma für Organisationsrollen mit mehreren Firmen | 1 Jahr oder bis zum Wechsel der Auswahl |
| NEXT_LOCALE | Spracheinstellung | Bis zum Schließen des Browsers |
| boltwork_sperrgrund | Hinweis, warum eine Anmeldung abgewiesen wurde (nur in diesem Fall) | 60 Sekunden |
Im lokalen Speicher Ihres Browsers (Local Storage) legt die Anwendung außerdem folgende Einträge ab. Sie verlassen Ihr Gerät nicht, sofern nicht anders angegeben, und werden entfernt, wenn Sie die Websitedaten Ihres Browsers löschen:
Nur für die Dauer des geöffneten Browserfensters (Session Storage) merkt sich die Anwendung unter boltwork_zweiter_faktor_hinweis, dass Sie den Hinweis zum zweiten Faktor geschlossen haben.
Zusätzlich speichert das Barrierefreiheits-Panel (Schaltfläche unten links) die Darstellungseinstellungen, die Sie dort selbst wählen – etwa Schriftgröße oder Kontrast –, im lokalen Speicher Ihres Browsers (Local Storage, Eintrag „growcore.a11y“). Der Eintrag entsteht erst, wenn Sie eine Einstellung ändern, verlässt Ihr Gerät nicht und wird nicht an uns übertragen. Er wird entfernt, wenn Sie im Panel „Alles zurücksetzen“ wählen oder die Websitedaten Ihres Browsers löschen.
Da ausschließlich technisch notwendige Cookies verwendet werden, ist keine gesonderte Einwilligung gemäß § 25 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz) erforderlich.
Datenbank und Anwendung laufen in Rechenzentren in Frankfurt am Main. Supabase, Inc. und Vercel, Inc. haben ihren Sitz in den USA; ein Zugriff von dort ist nicht ausgeschlossen. Dafür stellen wir geeignete Garantien gemäß Art. 44 ff. DSGVO sicher (insbesondere Standardvertragsklauseln oder den Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework). Weitere Übermittlungen in Drittländer entstehen nur, wenn eine berechtigte Person den Kartenlink öffnet (Abschnitt 4.2a) oder Sie selbst Ihr Kalender-Abo in das Programm eines Anbieters außerhalb der EU eintragen (Abschnitt 4.13).
Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen, Gerichtsentscheidungen oder an Änderungen unserer Datenverarbeitung anzupassen. Die jeweils aktuelle Fassung ist stets über die Anwendung abrufbar.
Bei Fragen zum Datenschutz, zur Ausübung Ihrer Betroffenenrechte oder bei sonstigen datenschutzrechtlichen Anliegen erreichen Sie uns unter:
E-Mail: info@galdora.de
© 2026 Boltwork Software.
Gilt nur für dich, auf diesem Gerät. Bleibt beim nächsten Besuch erhalten.