Datenschutzerklärung

Stand: 1. Oktober 2026

Diese Datenschutzerklärung erläutert, wie wir personenbezogene Daten verarbeiten, wenn Sie unsere Website besuchen oder Kanroo Cloud nutzen, unseren gehosteten Kanroo-Dienst.

1. Verantwortlicher

TECHPOINT
Seestraße 3
82211 Herrsching am Ammersee
Bayern, Deutschland
E-Mail: hi@kanroo.app

Wir sind nicht verpflichtet, einen Datenschutzbeauftragten zu benennen. Für alle Fragen zum Datenschutz nutzen Sie unser Kontaktformular mit dem Label Privacy, oder schreiben Sie an hi@kanroo.app.

2. Unsere zwei Rollen

• Verantwortlicher. Wir entscheiden, wie die Daten verarbeitet werden, die für den Betrieb unserer Website, Ihres Kontos, der Anmeldung, der Sicherheit und des E-Mail-Versands nötig sind. Diese Datenschutzerklärung beschreibt diese Verarbeitung.
• Auftragsverarbeiter. Die Inhalte, die Organisationen in Kanroo Cloud speichern, etwa Aufgaben, Kommentare, Dateien, Formulare und Wiki-Seiten, gehören dem Kunden. Wir verarbeiten sie nur im Auftrag des Kunden auf Grundlage unseres Auftragsverarbeitungsvertrags unter https://kanroo.app/de/legal/dpa/. Bei Fragen zu diesen Inhalten wenden Sie sich an die Organisation, die Kanroo Cloud nutzt.

3. Website

3.1 Hosting und Server-Logs

Unsere Website läuft auf Servern der netcup GmbH in Deutschland. Wenn Sie eine Seite aufrufen, verarbeitet der Server Ihre IP-Adresse, die aufgerufene Seite, den Zeitpunkt, den Referrer und Ihren Browsertyp, um die Seite auszuliefern und den Server vor Angriffen zu schützen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an einer sicheren und funktionierenden Website. Server-Logs werden nach 30 Tagen gelöscht.

3.2 Webanalyse mit Rybbit

Wir nutzen Rybbit, um zu messen, wie unsere Website genutzt wird, zum Beispiel welche Seiten aufgerufen werden und von welchen Websites Besucher kommen. Rybbit läuft auf unseren eigenen Servern bei netcup in Deutschland; es gehen keine Daten an Dritte. Rybbit setzt keine Cookies und speichert nichts auf Ihrem Endgerät. Es verarbeitet Ihre IP-Adresse und Browserinformationen nur, um zusammengefasste (aggregierte) Statistiken zu erstellen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an der Verbesserung unserer Website. Statistiken werden 365 Tage aufbewahrt.

3.3 Kontakt per Formular oder E-Mail

Unsere Kontakt-, Feedback- und Meldeformulare laufen auf Kanroo Cloud. Um ein Formular zu senden, melden Sie sich mit Ihrer E-Mail-Adresse an (Abschnitt 4.1), und Ihre Nachricht wird zu einer Aufgabe auf unserem eigenen Board. Wenn Sie ein Formular nutzen oder uns per E-Mail schreiben, verarbeiten wir Ihre E-Mail-Adresse, Ihren Namen, falls Sie ihn angeben, und Ihre Nachricht, um Ihnen zu antworten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, wenn Ihre Nachricht einen Vertrag betrifft, sonst Art. 6 Abs. 1 lit. f DSGVO. Wir löschen die Korrespondenz, wenn sie nicht mehr benötigt wird, sofern keine gesetzliche Aufbewahrungsfrist gilt.

3.4 Einstellungen auf Ihrem Endgerät

Wenn Sie auf unserer Website ein Farbschema oder eine Sprache wählen, speichert Ihr Browser diese Wahl in seinem lokalen Speicher (Local Storage) unter den Schlüsseln theme und lang. Bevor Sie wählen, wird nichts gespeichert. Diese Einstellungen bleiben auf Ihrem Endgerät; wir erhalten nichts. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG, weil die Speicherung unbedingt erforderlich ist, um die von Ihnen gewünschte Funktion bereitzustellen, und Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse daran, Ihnen die Website so anzuzeigen, wie Sie es gewählt haben.

3.5 Update-Prüfung selbst betriebener Installationen

Eine selbst betriebene Kanroo-Installation fragt alle 24 Stunden bei kanroo.app nach, ob es eine neue Version gibt. So erfährt ihr Betreiber rechtzeitig von Updates und Sicherheitskorrekturen. Sie sendet dazu eine zufällige Installations-ID, ihre Version und ihre Edition. Wir speichern diese zusammen mit der IP-Adresse und dem Land des Servers, um zu wissen, welche Versionen noch Support brauchen, und um Missbrauch zu verhindern. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Wir löschen die IP-Adresse nach 30 Tagen und den Rest nach 365 Tagen. Der Betreiber kann die Prüfung mit UPDATE_CHECK_ENABLED=false abschalten.

4. Kanroo Cloud

4.1 Konto und Anmeldung

Um ein Konto anzulegen und zu nutzen, verarbeiten wir Ihre E-Mail-Adresse und, falls Sie diese hinzufügen, Ihren Namen und Ihr Profilbild (Avatar). Sie melden sich mit einem Einmalcode an, den wir an Ihre E-Mail-Adresse senden. Wir speichern den Code nur als Hash, und er verfällt nach 10 Minuten. Außerdem speichern wir, welche Version unserer Nutzungsbedingungen Sie wann akzeptiert haben. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Wenn Ihre Organisation Single Sign-on (SSO) nutzt, bestätigt uns Ihr Identitätsanbieter Ihre Identität.

4.2 Sitzungscookie, lokaler Speicher

Nach der Anmeldung setzen wir ein Cookie, __Secure-kanroo-session. Es hält Sie angemeldet und ist für den Dienst unbedingt erforderlich. Beim Company Login trägt ein zweites Cookie, kanroo-oidc-attempt, den Anmeldeversuch für 10 Minuten. Zu jeder Sitzung speichern wir Ihre IP-Adresse und Browserinformationen, um Ihr Konto zu schützen; sie werden gelöscht, wenn Sie sich abmelden. Eine Sitzung läuft nach 7 Tagen ohne Nutzung ab und wird gelöscht, wenn Ihr Browser sie das nächste Mal vorlegt. Ihr Browser speichert außerdem Anzeigeeinstellungen, etwa das Farbschema, in seinem lokalen Speicher. Diese Einstellungen bleiben auf Ihrem Endgerät. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG und Art. 6 Abs. 1 lit. b und f DSGVO.

In Kanroo Cloud setzen wir keine Analyse- oder Tracking-Werkzeuge ein.

4.3 Sicherheitsaktivität und Audit-Logs

Wenn Sie sich anmelden, speichern wir den Zeitpunkt, Ihre IP-Adresse und Ihre Browserinformationen in der Sicherheitsaktivität Ihres Kontos. Sie können diese Einträge einsehen. Wir bewahren sie 90 Tage auf.

Organisationen können ein Audit-Log der Aktionen in ihrem Workspace führen. Die Organisation legt die Aufbewahrungsdauer fest, je nach Plan zwischen 30 und 365 Tagen.

Um den Dienst vor Missbrauch zu schützen, begrenzen wir die Zahl der Anfragen pro IP-Adresse. Wir speichern die Adresse nur als Hash, für höchstens eine Stunde.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an einem sicheren Dienst.

4.4 E-Mails von Kanroo Cloud

Wir versenden Anmeldecodes, Einladungen und Benachrichtigungen per E-Mail. Benachrichtigungs-E-Mails enthalten einen Link, mit dem Sie diese E-Mails abbestellen und Ihre Einstellungen ändern können. Wir versenden diese E-Mails über den Dienst Transactional Email von Scaleway in Frankreich. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

4.5 Antwort per E-Mail, E-Mail-Eingang

Sie können auf Benachrichtigungen per E-Mail antworten (Antwort per E-Mail), und Organisationen können aus eingehenden E-Mails Aufgaben erstellen (E-Mail-Eingang). Diese E-Mails kommen auf unserem eigenen Mailserver bei netcup in Deutschland an. Wir prüfen sie auf Spam und wandeln sie in Kommentare oder Aufgaben um. Wir löschen die ursprüngliche E-Mail nach der Verarbeitung, in der Regel innerhalb von 24 Stunden; eine E-Mail, die nicht verarbeitet werden kann, löschen wir spätestens nach 14 Tagen. Ein Eintrag ohne den Inhalt der Nachricht bleibt gespeichert, um Duplikate und Missbrauch zu verhindern: bei Antworten 90 Tage, bei einem E-Mail-Eingang so lange, wie der Eingang besteht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; die Spamprüfung beruht auf Art. 6 Abs. 1 lit. f DSGVO.

4.6 Push-Benachrichtigungen

Wenn Sie Push-Benachrichtigungen aktivieren, übermittelt uns Ihr Browser eine Adresse seines Push-Dienstes. Wir speichern sie verschlüsselt. Eine Push-Nachricht enthält den Titel der Aufgabe oder Seite und ist so verschlüsselt, dass der Push-Dienst sie nicht lesen kann. Ihr Browserhersteller wählt und betreibt den Push-Dienst. Sie können Push-Benachrichtigungen jederzeit deaktivieren. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO, Ihre Einwilligung.

4.7 Webhooks, API-Schlüssel und Integrationen

Webhooks und Integrationen, die Sie oder Ihre Organisation einrichten, senden Daten an die Ziele, die Sie wählen. Für diese Übermittlung sind Sie verantwortlich.

4.8 Betrieb und Fehleranalyse

Wir betreiben ein eigenes Monitoring-System auf unseren Servern bei netcup in Deutschland. Es empfängt technische Logs, Traces und Metriken. Diese enthalten keine IP-Adressen und keine Browserinformationen. Wir bewahren Logs und Traces 30 Tage und Metriken 3 Monate auf. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an einem stabilen und sicheren Dienst.

4.9 Zahlungen

Kostenpflichtige Pläne verkauft Polar Software, Inc., USA, als Merchant of Record (Polar verkauft in eigenem Namen). Polar hat zwei Rollen. Für die unten aufgeführten Daten, die wir an Polar senden, ist Polar unser Auftragsverarbeiter auf Grundlage seines Auftragsverarbeitungsvertrags (Art. 28 DSGVO). Für die Kauf-, Zahlungs-, Rechnungs- und Steuerdaten, die Sie direkt im Bestellvorgang (Checkout) von Polar eingeben, ist Polar eigenständiger Verantwortlicher nach seiner eigenen Datenschutzerklärung. Wir senden an Polar:

• die E-Mail-Adresse und die Nutzer-ID des Owners der Organisation;
• die Rechnungs-E-Mail-Adresse, falls der Owner eine angibt;
• den Namen und die ID der Organisation;
• den gewählten Plan und die Anzahl der Nutzerplätze.

Wenn der Owner einer Organisation wechselt, senden wir Polar außerdem den Namen des neuen Owners. Wir erhalten den Status des Abonnements. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

4.10 Datensicherungen

Wir sichern unsere Datenbanken. Datensicherungen (Backups) werden nach 30 Tagen gelöscht.

5. Beiträge zu Kanroo Core

Kanroo Core ist Open Source und wird im öffentlichen Repository https://github.com/kanrooHQ/kanroo entwickelt. Wenn Sie einen Beitrag leisten, verarbeiten wir die Daten, die Ihr Beitrag enthält: Ihren GitHub-Benutzernamen, den Namen und die E-Mail-Adresse in Ihren Git-Commits sowie den Inhalt Ihrer Pull Requests, Issues und Kommentare. Diese Daten sind im Repository öffentlich, weil jeder Beitrag seinem Urheber zugeordnet bleibt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für das Contributor License Agreement und Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an einer zuordenbaren und überprüfbaren Open-Source-Historie. GitHub, Inc., USA, verarbeitet diese Daten als eigenständiger Verantwortlicher nach seiner eigenen Datenschutzerklärung.

Bevor Ihr erster Pull Request übernommen wird, unterzeichnen Sie das Contributor License Agreement über CLA Assistant unter https://cla-assistant.io, einen Dienst der SAP SE, Walldorf, Deutschland, die als eigener Verantwortlicher handelt. CLA Assistant speichert Ihre GitHub-Identität, Ihre E-Mail-Adresse sowie Datum und Version der unterzeichneten Vereinbarung und zeigt uns diesen Eintrag. Wir bewahren ihn auf, solange Ihr Beitrag Teil von Kanroo ist, weil er die von Ihnen erteilte Lizenz belegt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

6. Empfänger

Wir setzen diese Dienstleister ein, die an Auftragsverarbeitungsverträge gebunden sind:

Anbieter	Zweck	Standort
netcup GmbH, Deutschland	Server für die Website, die Anwendung, die Datenbank, den Mailserver und das Monitoring	Nürnberg, Deutschland
Scaleway SAS, Frankreich	Objektspeicher für Dateien und Datensicherungen	Amsterdam, Niederlande
Scaleway SAS, Frankreich	Transaktionale E-Mails	Paris, Frankreich

Polar Software, Inc. rechnet kostenpflichtige Pläne ab, siehe Abschnitt 4.9. GitHub, Inc. und SAP SE verarbeiten Daten von Beitragenden als eigenständige Verantwortliche, siehe Abschnitt 5.

7. Übermittlungen in Drittländer

Wir verarbeiten Daten in der Europäischen Union. Zwei Übermittlungen gehen in die USA. Polar Software, Inc. erhält Daten für kostenpflichtige Pläne auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO, Durchführungsbeschluss (EU) 2021/914 der Kommission), die Teil des Auftragsverarbeitungsvertrags von Polar sind. GitHub, Inc. verarbeitet Daten von Beitragenden des öffentlichen Repositorys nach seiner eigenen Datenschutzerklärung und den dort genannten Garantien, darunter die EU-Standardvertragsklauseln. Wenn Sie Push-Benachrichtigungen aktivieren, gehen die verschlüsselten Nachrichten an den Push-Dienst Ihres Browserherstellers, der außerhalb der EU liegen kann und nicht unserer Kontrolle unterliegt (Abschnitt 4.6).

8. Speicherdauer

Wir löschen personenbezogene Daten, wenn sie für den Zweck nicht mehr benötigt werden, sofern keine gesetzliche Aufbewahrungsfrist gilt. Die Abschnitte oben nennen konkrete Fristen. Wenn Sie Ihr Konto löschen, löschen wir Ihre Kontodaten sofort; Audit-Log-Einträge von Organisationen behalten Ihren Namen und Ihre E-Mail-Adresse bis zum Ende ihrer Aufbewahrungsdauer (Abschnitt 4.3), und Polar bewahrt Abrechnungsdaten nach seinen eigenen Regeln auf. Inhalte, die Sie in weiterhin bestehenden Organisationen verfasst haben, bleiben dort ohne Ihren Namen erhalten. Inhalte, die in Kanroo Cloud gelöscht werden, etwa Aufgaben, Kommentare, Anhänge und Seiten, bleiben nach dem Löschen 30 Tage gespeichert und werden dann endgültig gelöscht. Kopien in Datensicherungen verfallen nach 30 Tagen.

9. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Soweit eine Verarbeitung auf Ihrer Einwilligung beruht, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen. Um Ihre Rechte auszuüben, nutzen Sie unser Kontaktformular mit dem Label Privacy, oder schreiben Sie an hi@kanroo.app.

Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, Deutschland.

Widerspruchsrecht

Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, können Sie jederzeit aus Gründen, die sich aus Ihrer besonderen Situation ergeben, Widerspruch einlegen.

10. Erforderliche Daten und automatisierte Entscheidungen

Sie müssen uns Ihre E-Mail-Adresse angeben, um Kanroo Cloud zu nutzen. Ohne sie können wir den Dienst nicht erbringen. Wir setzen keine automatisierte Entscheidungsfindung und kein Profiling ein.

11. Änderungen

Wir aktualisieren diese Datenschutzerklärung, wenn sich unsere Verarbeitung ändert. Die aktuelle Fassung finden Sie stets unter https://kanroo.app/de/legal/privacy/.