Datenschutzerklärung

Diese Erklärung beschreibt, welche personenbezogenen Daten Tagwerk verarbeitet. Sie ist keine Rechtsberatung. Das Impressum nennt den Betreiber.

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten in Tagwerk ist:

Nils Dornblut – Communityservice Carl-Bosch-Straße 12 50126 Bergheim Telefon: 0176 / 24573179 E-Mail: nils@dornblut.de

Tagwerk ist eine Familien-Organisations-App. Sie richtet sich an die eingeladenen Mitglieder der jeweiligen Familie.

2. Welche Daten wir verarbeiten

Konto- und Stammdaten der Mitglieder: Name, Kürzel, E-Mail-Adresse, Geburtsdatum, Rolle in der Familie, Anzeigefarbe. Die Anmeldung läuft über den Authentifizierungsdienst von Supabase; das Passwort wird dort verschlüsselt gespeichert und ist für den Betreiber nicht im Klartext einsehbar.

Angaben zu weiteren Personen: Für Familienmitglieder ohne eigenes Konto (z. B. kleine Kinder, Kontakte) können Name, Telefonnummer, Notiz und Geburtsdatum hinterlegt werden. Diese Daten trägt die Familie selbst ein.

Inhaltsdaten: Termine, Kalender, Aufgaben, Listen, Checklisten, Routinen, Geburtstage, Ausflüge sowie Nachrichten im Familien-Chat.

Meldungen & Screenshots: Wer Fehler oder Wünsche meldet, übermittelt den Meldetext, optional Screenshots (die persönliche Inhalte zeigen können) sowie technische Umgebungsdaten (Browser, Betriebssystem, Bildschirmgröße, App-Version, Zeitpunkt). Die Screenshot-Ablage ist streng persönlich — nur der jeweilige Nutzer sieht sie.

Technische Daten: Bei aktivierten Push-Benachrichtigungen die Abo-Kennung des Browsers/Geräts; bei verbundenem Kalender die verschlüsselt gespeicherten Zugangs-Token (siehe Abschnitt 4); ein internes Aktivitätsprotokoll (Audit-Log) zu sicherheitsrelevanten Änderungen.

3. Zwecke und Rechtsgrundlagen

Wir verarbeiten diese Daten, um die Familien-Organisation bereitzustellen (Kalender, Aufgaben, Chat, Benachrichtigungen). Rechtsgrundlage ist die Erfüllung des Nutzungsverhältnisses bzw. das berechtigte Interesse an einer funktionierenden Familienorganisation (Art. 6 Abs. 1 lit. b und f DSGVO). Die Verbindung eines externen Kalenders (Microsoft 365, Google) erfolgt nur auf ausdrückliche Veranlassung des jeweiligen Nutzers (Einwilligung, Art. 6 Abs. 1 lit. a DSGVO); sie ist jederzeit in den Einstellungen widerrufbar.

4. Empfänger / Auftragsverarbeiter

Zur Bereitstellung setzen wir folgende Dienstleister als Auftragsverarbeiter ein:

• Supabase — Datenbank, Anmeldung, Datei-Speicher und Server­funktionen. Die Produktivdaten liegen in der Region Central EU (Frankfurt). Auftragsverarbeitungsvertrag: supabase.com/legal/dpa.
• Cloudflare — Auslieferung der App (Worker) und Ablage der automatischen Backups (Speicher-Ort in der EU). Der Auftragsverarbeitungsvertrag ist Bestandteil des Cloudflare-Vertrags: cloudflare.com/cloudflare-customer-dpa.
• STRATO (SMTP) — Versand von E-Mails (Einladungen, Benachrichtigungen). Anbieter mit Sitz in Deutschland; ein Auftragsverarbeitungsvertrag wurde abgeschlossen.
• Microsoft — nur wenn ein Nutzer seinen Microsoft-365-Kalender verbindet: Abgleich der Termine über die Microsoft-Graph-Schnittstelle.
• Google — nur wenn ein Nutzer seinen Google-Kalender verbindet: Abgleich der Termine über die Google-Calendar-Schnittstelle. Zugangs-Token werden ausschließlich serverseitig und verschlüsselt gespeichert, nie im Browser.
• Push-Dienste der Browser-Hersteller (Apple, Google, Mozilla) — nur bei aktivierten Push-Benachrichtigungen, zur Zustellung der Meldungen an das Gerät.

5. Übermittlung in Drittländer

Soweit Dienstleister Daten außerhalb der EU verarbeiten (z. B. das Mutterunternehmen von Supabase oder Cloudflare mit Sitz in den USA), stützt sich die Übermittlung auf die Standardvertragsklauseln der EU-Kommission bzw. das EU-US Data Privacy Framework, die Bestandteil der oben verlinkten Auftragsverarbeitungsverträge sind.

6. Speicherdauer und Löschung

Daten werden gespeichert, solange das jeweilige Konto bzw. die Familie besteht. Jedes Mitglied kann die Daten seiner Familie jederzeit als Datei exportieren. Auf Anfrage wird ein Konto gelöscht: Dabei werden personenbezogene Angaben anonymisiert bzw. gelöscht; rein persönliche Inhalte (z. B. private Kalender) werden vollständig entfernt. Automatische Backups liegen in der EU und werden nach 30 Tagen gelöscht.

7. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 15–21 DSGVO) sowie das Recht, eine erteilte Einwilligung jederzeit zu widerrufen. Wende dich dazu an den unter Abschnitt 1 genannten Verantwortlichen.

Außerdem steht dir ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu. Zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW).

8. Datensicherheit

Die Trennung der Familien und die Rechte einzelner Rollen werden serverseitig durchgesetzt (Row-Level-Security in der Datenbank), nicht nur in der Oberfläche. Zugangs-Token externer Kalender werden verschlüsselt gespeichert. Details erklärt die Seite Datenschutz & Sicherheit.

Stand: 10. Juli 2026.