Stand: 21. September 2026. Diese Erklärung gilt für die Website mykordo.app, für Demo-Zugänge und für die Kordo-App (iOS, Android, Web unter app.mykordo.app).

1. Verantwortlicher und Rollen

Tolunay Karasu, Kordo, Landshuter Straße 21, 84180 Loiching, E-Mail: datenschutz@mykordo.app. Ein Datenschutzbeauftragter ist nicht benannt.

Für Website, Kontaktanfragen, Kundenverwaltung, Demo-Zugänge, Absturzberichte und die Sicherheitsprotokolle des Dienstes sind wir Verantwortlicher (Abschnitte 2–4 und 6). Für die Daten, die ein Unternehmen mit Kordo über seine Beschäftigten und seinen Betrieb verarbeitet, ist dieses Unternehmen Verantwortlicher; wir verarbeiten sie als Auftragsverarbeiter nach seinen Weisungen (Art. 28 DSGVO, Abschnitt 5).

2. Website und Web-App

Beim Aufruf der Website und der Web-App verarbeitet Cloudflare (Cloudflare, Inc. bzw. Cloudflare Germany GmbH) technisch notwendige Verbindungsdaten: IP-Adresse, Zeitpunkt, aufgerufene Seite, Browser (Art. 6 Abs. 1 lit. f DSGVO, sicherer Betrieb). Mit Cloudflare besteht ein Auftragsverarbeitungsvertrag; Übermittlungen in Drittländer stützen sich auf das EU-U.S. Data Privacy Framework und Standardvertragsklauseln.

Die Website setzt keine Cookies, kein Tracking und keine Analysedienste ein und lädt nichts von Drittservern. Die Web-App lädt Programm, Grafikbibliothek und Schriften von app.mykordo.app selbst; auch Ersatzschriften für seltene Zeichen (etwa Emoji) kommen über app.mykordo.app, ohne Verbindung Ihres Browsers zu Google. Von Dritten kommen nur der Anmeldeschutz Turnstile (Cloudflare) und beim Öffnen einer Karte Kartenkacheln von OpenStreetMap (Abschnitt 6); auch die Absturzbibliothek von Sentry liefert app.mykordo.app selbst aus. Eine Nutzungsstatistik erhebt Kordo weder auf der Website noch in der App. Die Web-App legt Programmdateien und für die Arbeit ohne Netz Anzeigedaten im Browser ab (Abschnitt 7).

3. Kontakt per E-Mail

Bei einer Anfrage verarbeiten wir die Angaben aus der E-Mail zur Bearbeitung (Art. 6 Abs. 1 lit. b bzw. f DSGVO) und löschen sie, sobald sie nicht mehr nötig sind und keine Aufbewahrungspflichten entgegenstehen (Geschäftsbriefe sechs Jahre).

Die Postfächer kontakt@, contact@ und datenschutz@mykordo.app betreibt mailbox.org (Heinlein Hosting GmbH, Berlin; Verarbeitung in Deutschland); zugestellt wird über die E-Mail-Weiterleitung von Cloudflare, die Nachrichten nur durchleitet. Andere Adressen unter mykordo.app sind für Anfragen nicht vorgesehen: E-Mails an Adressen ohne Postfach – etwa Antworten auf Nachrichten von noreply@mykordo.app – verwirft die Weiterleitung, ohne sie zuzustellen. Bitte schreiben Sie an die drei genannten Adressen.

4. Demo-Zugänge

Für Interessenten richten wir auf Anfrage einen Zugang zu einer Demo-Firma mit erfundenen Personen und Objekten ein (Art. 6 Abs. 1 lit. b DSGVO, vorvertragliche Maßnahme). Verarbeitet werden E-Mail-Adresse und Name des Zugangs, Anmeldedaten und was Sie in der Demo selbst eingeben; bitte geben Sie dort keine echten Daten von Beschäftigten oder Dritten ein. In Demo-Firmen sind die KI-Funktionen eingeschaltet (Abschnitt 6). Der Zugang endet nach 30 Tagen, wird gesperrt und 30 Tage später anonymisiert.

5. Die Kordo-App

Kordo ist eine Arbeitsplattform für Unternehmen. Nutzerkonten legt das einsetzende Unternehmen an – für seine Beschäftigten und gegebenenfalls für Ansprechpersonen seiner Auftraggeber. Welche Daten es verarbeitet, wofür, auf welcher Rechtsgrundlage und wer sie sieht, erfahren Beschäftigte aus der Information ihres Arbeitgebers.

Verarbeitet werden je nach Nutzung insbesondere: Stammdaten (Name, E-Mail-Adresse, Personalnummer, Rolle; freiwillig dienstliche Telefonnummer und Notfallkontakt; für den Dienstausweis gegebenenfalls die Bewacherregister-ID und freiwillig ein Lichtbild), Dienste und Arbeitszeiten (Kommen, Gehen und Pausen mit der Uhrzeit des Servers; ohne Netz erfasste Zeiten mit Kennzeichnung; Hinweise zu Pausen, Höchstarbeitszeit und Ruhezeit – Kordo trägt keine Pausen von sich aus ein), Abwesenheiten (ohne Diagnose), Dienstantritt, Berichte mit Fotos, Kontrollgang-Scans, Übergaben, Fahrzeug- und Ausrüstungsprotokolle, Qualifikationsnachweise (beim Führungszeugnis nur ein Vermerk über die Vorlage, keine Kopie) und Unterweisungen, Mängel, Mitteilungen, Besucherbuch, Leistungsnachweise und Rechnungen gegenüber Auftraggebern.

Standort: keine dauerhafte Ortung, keine Bewegungsprofile. Positionen entstehen nur beim Scan eines Kontrollpunkts; außerdem kann die Verwaltung den Standort ihres Geräts als Lage eines Objekts übernehmen. Fotos: Vor dem Hochladen entfernt die App eingebettete Angaben wie Aufnahmeort und Gerätedaten aus dem Bild. Fotos sollen nur die Lage dokumentieren; Personen nur, wenn es für den Vorfall erforderlich ist. Besucher, die im Besucherbuch erfasst werden, informiert das einsetzende Unternehmen per Aushang; ihre Daten werden 90 Tage nach dem Gehen gelöscht. Diktat ist freiwillig und nutzt die Spracherkennung des Geräts bzw. Browsers (Abschnitt 6). Kalender-Abo: Beschäftigte können ihre Dienste freiwillig in ihrem eigenen Kalenderdienst abonnieren; das Abo ist widerrufbar und endet mit der Sperre des Kontos.

Meldet eine Person in der App einen Fehler („Etwas stimmt nicht“) oder einen Wunsch, erhalten wir im Auftrag ihres Unternehmens per E-Mail Firma, Name, Rolle, E-Mail-Adresse, Bildschirm, Plattform, App-Fassung, Zeitpunkt und Text, um den Fehler zu beheben; die Meldung wird in der Datenbank nach sechs Monaten gelöscht.

6. Dienstleister

Supabase (Supabase Inc.; Datenbank, Anmeldung, Dateispeicher, Serverfunktionen): Verarbeitung und Sicherungen in Frankfurt am Main; Standardvertragsklauseln für Support-Zugriffe. Cloudflare Turnstile: Beim Anmelden und beim Anfordern eines neuen Passworts prüft Turnstile, ob ein Mensch anmeldet; dabei gehen IP-Adresse und technische Merkmale von Gerät und Browser an Cloudflare (Art. 6 Abs. 1 lit. f DSGVO, Schutz vor automatisierten Anmeldeversuchen; kein Tracking). Google Firebase Cloud Messaging (Google Ireland Ltd.) und auf iPhones Apple Push Notification service: Zustellung von Push-Mitteilungen in der App-Fassung. Die Mitteilungen enthalten keine Namen und keine Freitexte von Beschäftigten – etwa Objekt und Dienstbeginn bei einem nicht angetretenen Dienst, das Objekt bei einem dringenden Mangel oder „Details in der App“ bei Zeitkorrekturen, beim Monatsstand und bei bestätigten Leistungsnachweisen. Dazu Geräte-Token und interne Kennung des Vorgangs, keine Fotos. Übermittlung in die USA möglich (EU-U.S. Data Privacy Framework, Standardvertragsklauseln). Google Gemini (Google Ireland Ltd.; nur wenn das einsetzende Unternehmen das jeweilige KI-Modul eingeschaltet hat – bei Kunden sind alle Module zunächst aus): Formulierungshilfe, Bericht aus Foto, Einstufung von Berichten, Übergabevorschlag, Nachschau von Mängeln, Auslesen von Objektunterlagen und ein Assistent für Leitung bzw. Beschäftigte. Übermittelt werden über unsere Server nur die für das Modul nötigen Daten (etwa der eingegebene Text, das Foto, der Berichtstext mit Objektname oder beim Assistenten die zur Frage passenden Ausschnitte aus den Betriebsdaten). Vorschläge speichert Kordo erst, wenn eine Person sie übernimmt; die Einstufung eines Berichts steht als „Vorschlag“ daneben. Google nutzt die Daten nach seinen Bedingungen nicht zur Verbesserung seiner Produkte, protokolliert sie aber begrenzt zur Missbrauchserkennung; die Verarbeitung ist nicht auf die EU beschränkt (EU-U.S. Data Privacy Framework, Standardvertragsklauseln). Personen unter 18 Jahren sind von den KI-Modulen ausgenommen; die Antworten sind maschinenlesbar als KI-erzeugt gekennzeichnet, der KI-Assistent ist als KI erkennbar. Sentry (Functional Software, Inc.; Absturzberichte, eigener Zweck der Stabilität, Art. 6 Abs. 1 lit. f DSGVO): EU-Region (Frankfurt). Vor dem Senden entfernt bzw. maskiert die App Adress-Parameter, Kennungen, E-Mail-Adressen, Schlüssel und Rufnummern; übertragen werden technische Fehlerdaten, App-Fassung, Gerätetyp und Betriebssystem bzw. Browser; keine Nutzerkennung und keine Sitzungsmessung (nur beim Absturz des Betriebssystem-Teils kann eine zufällige Installationskennung mitgehen); keine IP-Speicherung; Aufbewahrung 90 Tage. Resend (Resend, Inc.; Server in der EU, Irland): Versand von Einladungs- und Passwort-E-Mails, Meldungen aus der App und Betriebsberichten an uns; keine Auswertung von Öffnungen oder Klicks (Standardvertragsklauseln, EU-U.S. Data Privacy Framework). OpenStreetMap (OpenStreetMap Foundation, Vereinigtes Königreich – Angemessenheitsbeschluss): Beim Öffnen einer Karte lädt das Gerät Kartenkacheln; dabei erhält die Stiftung die IP-Adresse (Art. 6 Abs. 1 lit. f DSGVO). Objektadressen setzt unser Server über deren Dienst Nominatim in Koordinaten um (nur die Adresse, keine Namen). Bright Sky (offene Daten des Deutschen Wetterdienstes): Zu Streuprotokollen fragt unser Server das Wetter der nächstgelegenen Station ab; übermittelt werden nur die Koordinaten des Objekts. Google Maps: Erst wenn Sie einen Karten- oder Navigationslink antippen, öffnet sich Google Maps bzw. Ihre Navi-App mit der Adresse oder Position; eine Karte von Google ist nicht eingebettet. Spracherkennung: Das freiwillige Diktat nutzt die Spracherkennung des Geräts bzw. Browsers (iPhone: Apple; Android und Chrome: Google; andere Browser: deren Anbieter); je nach Einstellung geht die Aufnahme dafür an diesen Anbieter. Kordo speichert keine Aufnahme; der Diktat-Knopf weist darauf hin. Google ML Kit (nur Android): Liest die App im Berichtsformular Text aus einem Foto, geschieht das auf dem Gerät; das Foto verlässt es nicht. Google erhält technische Nutzungsdaten (Gerätemodell, Betriebssystem, App-Fassung, Leistungswerte) zur Diagnose (Art. 6 Abs. 1 lit. f DSGVO). Auf iPhones liest Apple Vision ausschließlich auf dem Gerät. Mit den Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO; die vollständige Liste erhalten Kunden als Anlage zum Auftragsverarbeitungsvertrag.

7. Speicherdauer

Kordo wendet für die Daten der Unternehmen automatisch diese Fristen an (sofern das Unternehmen nichts anderes anweist): Arbeitszeiten – nach zwei Jahren wird die Person vom Dienst gelöst, die Zeiten bleiben; Standort eines Scans nach sechs Monaten entfernt; Besucherdaten nach 90 Tagen, Mitteilungen und Meldungen an uns nach sechs Monaten gelöscht; im Änderungsprotokoll die Inhalte nach sechs Monaten, die Einträge nach drei Jahren; Nachweisdateien sechs Monate nach dem Austritt gelöscht; zehn Jahre nach dem Austritt wird das Profil einschließlich des Anmeldekontos anonymisiert; Exporte nach 30 Tagen und monatliche Archive (ohne Positionen) nach zwei Jahren gelöscht; Push-Protokolle nach 90 Tagen; Abwesenheiten und Anfragen auf Arbeitszeitbescheinigungen drei Jahre nach ihrem Ende. Berichte, Übergaben und weitere Nachweise ohne eigene Frist bleiben für die Dauer des Vertrags, höchstens bis zum Ende des zehnten Kalenderjahres nach ihrer Entstehung, und werden mit Vertragsende mit allen Daten des Unternehmens gelöscht. Sicherungen der Datenbank werden nach sieben bzw. höchstens 14 Tagen überschrieben.

Auf dem Gerät: Die App speichert für die Arbeit ohne Netz Anzeigedaten. Sie löscht sie beim Abmelden und auch dann, wenn die Anmeldung vom Server beendet wurde (etwa durch Sperre des Kontos oder „Auf allen Geräten abmelden“), sobald das Gerät wieder online ist. Noch nicht gesendete Einträge bleiben bis zum Senden erhalten und werden nur für dieselbe Person gesendet. Die Programmdateien der Web-App bleiben im Browser.

8. Ihre Rechte

Sie haben nach Maßgabe der Art. 15 bis 21 DSGVO das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch sowie das Recht, eine Einwilligung zu widerrufen. Für Daten, die im Auftrag Ihres Arbeitgebers verarbeitet werden, wenden Sie sich bitte an diesen; er kann Ihnen aus Kordo einen vollständigen Export Ihrer Daten mit Ihren Dateien erstellen, und wir unterstützen ihn dabei. Wie Unternehmen ihre Daten exportieren oder den Anbieter wechseln, beschreibt die Seite Datenexport und Anbieterwechsel.

Widerspruchsrecht: Soweit wir Daten auf Grundlage berechtigter Interessen verarbeiten (Art. 6 Abs. 1 lit. f DSGVO), können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen – per E-Mail an datenschutz@mykordo.app.

Sie haben ein Beschwerderecht bei einer Aufsichtsbehörde, z. B. beim Bayerischen Landesamt für Datenschutzaufsicht (BayLDA), Ansbach.