← Startseite

Datenschutzerklärung

Stand: 10. September 2026

1. Verantwortlicher

BeyondWega UG (haftungsbeschränkt)
Auf dem Kamp 74
28865 Lilienthal
Deutschland

E-Mail: datenschutz@gantt400.com
Telefon: +49 163 2580889
Website / App: https://gantt400.com

Ein Datenschutzbeauftragter ist aufgrund der Unternehmensgröße (weniger als 20 Personen ständig mit automatisierter Verarbeitung beschäftigt) nach § 38 Abs. 1 BDSG derzeit nicht gesetzlich erforderlich und nicht bestellt.

2. Überblick der Verarbeitungen

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung unserer Plattform „gantt400" und der zugehörigen Website erforderlich ist. gantt400 ist ein Werkzeug zur Projekt- und Zeitplanung (Gantt-/Chronik-Daten). Es werden keine Finanz-, Zahlungs- oder Käuferdaten verarbeitet.

Datenkategorie	Betroffene	Zweck	Rechtsgrundlage	Speicherdauer
Server-Logfiles	Website-Besucher	Betrieb, Sicherheit	Art. 6 Abs. 1 lit. f	Spätestens 30 Tage (inkl. IP-Adresse)
Account-Daten (E-Mail, gehashtes Passwort, Registrierungszeitpunkt)	Registrierte Nutzer	Vertragserfüllung	Art. 6 Abs. 1 lit. b	Kontolaufzeit + 30 Tage
Projekt-/Chronik-Daten (vom Nutzer eingegebene Projektpläne, Gantt-/Chronik-Einträge)	Registrierte Nutzer	Bereitstellung der Plattformfunktionen	Art. 6 Abs. 1 lit. b	Kontolaufzeit + 30 Tage
Team-/Mandanten-Daten (Mitgliedschaften, Einladungs-E-Mail-Adressen)	Registrierte Nutzer, eingeladene Team-Mitglieder	Team-Zusammenarbeit	Art. 6 Abs. 1 lit. b	Kontolaufzeit + 30 Tage
Google-Konto-Verknüpfung (Google-Kennung, E-Mail, Verifizierungsstatus) — nur bei optionaler Google-Anmeldung	Wer sich per Google anmeldet oder registriert	Anmeldung ohne eigenes Passwort	Art. 6 Abs. 1 lit. b	Kontolaufzeit + 30 Tage
Session-Cookie	Registrierte Nutzer	Authentifizierung	Art. 6 Abs. 1 lit. f / § 25 Abs. 2 TDDDG	Siehe Cookie-Richtlinie
OAuth-Cookies (Fremdeinschleusungs-Schutz, Rücksprungziel) — nur während einer Google-Anmeldung	Alle, deren Browser den Google-Anmeldeweg aufruft — auch wenn er abgebrochen wird und nie ein Konto entsteht	Absicherung des Anmeldevorgangs	Art. 6 Abs. 1 lit. f / § 25 Abs. 2 TDDDG	10 Minuten

3. Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten im Einklang mit der DSGVO. Es kommen folgende Rechtsgrundlagen in Betracht:

• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) — z. B. für die Bereitstellung des Nutzeraccounts, der Projekt-/Planungsfunktionen und der Team-Zusammenarbeit.
• Gesetzliche Pflicht (Art. 6 Abs. 1 lit. c DSGVO) — soweit künftig steuer- und handelsrechtliche Aufbewahrungspflichten greifen (z. B. bei Einführung einer kostenpflichtigen Variante).
• Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO) — z. B. für den Betrieb der Website, Sicherheitsmaßnahmen und Missbrauchsprävention.
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) — derzeit nicht erforderlich, da keine einwilligungsbedürftigen Analyse- oder Marketing-Technologien eingesetzt werden.

4. Erhobene Daten bei Nutzung der Website

4.1 SSL-/TLS-Verschlüsselung

Die Kommunikation zwischen Deinem Browser und unseren Servern erfolgt über HTTPS (TLS-Verschlüsselung). Dies schützt die übertragenen Daten vor dem Zugriff Dritter.

4.2 Server-Logfiles

Bei jedem Aufruf unserer Website erfasst der Webserver automatisch:

• IP-Adresse
• Datum und Uhrzeit der Anfrage
• Aufgerufene Seite / URL
• Referrer-URL
• Browser-Typ und Version
• Betriebssystem

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Die Daten werden zur Sicherstellung des Betriebs und zur Abwehr von Angriffen genutzt. Logfiles werden durch automatische Rotation spätestens 30 Tage nach ihrer Erfassung gelöscht.

4.3 Hosting

Unsere Website und Plattform werden gehostet bei:

Hetzner Online GmbH
Industriestr. 25
91710 Gunzenhausen, Deutschland

Rechenzentrum: Falkenstein/Vogtl. (Deutschland, EU)
AV-Vereinbarung: https://www.hetzner.com/rechtliches/auftragsdatenverarbeitung

Es liegt ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO) vor. Anwendung und Datenbank laufen auf diesen Servern in Deutschland. Wer sonst noch an einer Verarbeitung beteiligt ist und auf welcher Grundlage, steht vollständig in § 7 und § 8 — dieser Abschnitt beschreibt nur das Hosting. Ein CDN oder WAF (z. B. Cloudflare) wird nicht eingesetzt; der Reverse-Proxy (Caddy) wird auf demselben Server betrieben und übernimmt die TLS-Terminierung.

5. Nutzerkonto & Plattform

5.1 Registrierung und Login

Bei der Registrierung für gantt400 verarbeiten wir:

• E-Mail-Adresse
• Passwort (mit bcrypt serverseitig gehasht gespeichert, nie im Klartext)
• Zeitpunkt der Registrierung

Die Authentifizierung erfolgt über ein eigenes, serverseitiges Authentifizierungssystem von gantt400. Das Passwort-Hashing erfolgt mit bcrypt auf unseren Servern. Es werden keine im Browser-Local-Storage abgelegten Authentifizierungs-Tokens verwendet.

Optionale Anmeldung mit einem Google-Konto

Seit dem 27. Juni 2026 kannst Du Dich wahlweise mit Deinem Google-Konto anmelden, statt ein Passwort bei uns zu setzen. Die Registrierung und Anmeldung per E-Mail und Passwort bleibt unverändert möglich.

Klickst Du „Mit Google anmelden“, leiten wir Dich zu Google weiter. Dort meldest Du Dich gegenüber Google an — wir sehen Dein Google-Passwort nicht. Google teilt uns danach mit:

• eine dauerhafte Google-Kennung Deines Kontos (das Feld sub),
• Deine E-Mail-Adresse und die Angabe, ob Google sie als verifiziert führt.

Wir fordern bei Google die Berechtigungen openid, userinfo.email und userinfo.profile an. Die letzte betrifft Profilangaben wie Name, Vor-/Nachname, Profilbild und Spracheinstellung; Google weist Dich auf seiner Zustimmungsseite darauf hin, und solche Angaben können dadurch im Anmelde-Token an unseren Server gelangen. Unser Server prüft dieses Token als Ganzes, verwendet und speichert die Profilangaben aber nicht — dauerhaft abgelegt werden ausschließlich die Google-Kennung, die E-Mail-Adresse, der Verifizierungsstatus und der Vermerk, dass das Konto mit Google verknüpft ist. Wir fordern keinen dauerhaften Zugriff auf Dein Google-Konto an (kein Refresh-Token) und greifen auf keine weiteren Google-Dienste (Kalender, Kontakte, Drive) zu.

Offener Punkt, den wir hier nicht verschweigen: Diese Profil-Berechtigung braucht gantt400 gar nicht. Sie stammt aus der ursprünglichen Einrichtung des Google-Logins und wird ersatzlos gestrichen; bis dahin beschreibt der vorstehende Absatz den tatsächlichen Zustand.

Google handelt für den Anmeldevorgang als eigenständig Verantwortlicher nach seiner eigenen Datenschutzerklärung, nicht als unser Auftragsverarbeiter (§ 7). Wir übermitteln Google dabei keine Projekt-, Team- oder Mandantendaten und insbesondere keine Einladungs-Links.

Rechtsgrundlage für die Verarbeitung auf unserer Seite: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — Bereitstellung des Zugangs). Während der Weiterleitung setzen wir ein kurzlebiges, technisch notwendiges Cookie, das den Anmeldevorgang gegen Fremdeinschleusung absichert (10 Minuten). Bringt der Aufruf ein Rücksprungziel mit — etwa bei einem Einladungs-Link —, kommt für dieselbe Dauer ein zweites hinzu, das nur dieses Ziel merkt; ohne ein solches Ziel entsteht es nicht. Einzelheiten in der Cookie-Richtlinie.

Nach erfolgreichem Login setzen wir ein HMAC-signiertes Session-Cookie (__Host-gantt400_session). Das Cookie ist HttpOnly (nicht per JavaScript auslesbar), SameSite=Lax und — bei HTTPS-Betrieb — Secure mit __Host--Präfix (host-gebunden). Es enthält serverseitig signiert die Nutzer-ID, die aktive Team-/Mandanten-ID sowie Ausstellungs- und Ablaufzeitpunkt; es läuft nach 30 Tagen ab. Details in unserer Cookie-Richtlinie.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Passwort-Reset und E-Mail-Verifizierung laufen über den unter § 5.3 beschriebenen E-Mail-Dienstleister.

5.2 Projekt-, Planungs- und Team-Daten

Im Rahmen der Nutzung von gantt400 verarbeiten wir die von Dir eingegebenen Projekt- und Planungsdaten (Projektpläne, Aufgaben, Gantt-/Chronik-Einträge, Zeitangaben). Diese Inhalte sind in der Regel keine besonderen Kategorien personenbezogener Daten; sie können jedoch personenbezogene Angaben enthalten, soweit Du selbst solche eingibst.

gantt400 unterstützt Team-Zusammenarbeit über Mandanten (Tenants): Konto-Inhaber können andere Personen per E-Mail in ein Team einladen. Dabei verarbeiten wir die E-Mail-Adressen eingeladener Mitglieder sowie die Mitgliedschafts- und Rollenzuordnung. Die Daten innerhalb eines Teams sind durch eine mandantenfähige Datentrennung (Row-Level Security auf Datenbankebene) logisch voneinander isoliert.

Für die von Dir eingegebenen Inhalte bist Du verantwortlich; soweit Du personenbezogene Daten Dritter eingibst oder Teammitglieder hinzufügst, agieren wir insoweit als Auftragsverarbeiter in Deinem Auftrag (siehe AVV). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

5.3 Transaktionale E-Mails

Für den Versand transaktionaler E-Mails (z. B. Registrierungsbestätigung, Passwort-Reset, Team-Einladungen) nutzen wir:

Plus Five Five, Inc. (auftretend als „Resend")
San Francisco, CA, USA

Ist zusätzlich eine Empfängeradresse dafür konfiguriert, wird jede Neuregistrierung an diese Adresse gemeldet (E-Mail-Adresse des neuen Kontos und die Angabe, ob es per Passwort oder per Google angelegt wurde) — Zweck ist der Betriebsüberblick über neue Registrierungen, Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO.

Resend verarbeitet in unserem Auftrag Deine E-Mail-Adresse sowie den E-Mail-Inhalt zum Zweck der Zustellung. Es liegt ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO) vor. Die Datenübermittlung in die USA erfolgt auf Basis des EU-US Data Privacy Framework (Art. 45 DSGVO). Weitere Informationen: https://resend.com/legal/privacy-policy

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

6. Cookies und Tracking

6.1 Technisch notwendige Cookies

Wir setzen ausschließlich technisch notwendige Cookies ein. Sie werden ohne Einwilligung gesetzt, da sie für den Betrieb der Plattform erforderlich sind:

• das Session-Cookie __Host-gantt400_session (Aufrechterhaltung der Anmeldung, 30 Tage — siehe § 5.1);
• bei einer optionalen Google-Anmeldung für die Dauer des Anmeldevorgangs (je 10 Minuten) __Host-gantt400_oauth_state, das vor dem Einschleusen fremder Anmeldungen schützt — und nur dann, wenn es ein Rücksprungziel gibt (etwa bei einem Einladungs-Link), zusätzlich __Host-gantt400_oauth_returnto, das sich diese Seite merkt. Beide werden am Ende des Vorgangs gelöscht. Gesetzt werden sie ausschließlich im Google-Anmeldeweg; auf keinem anderen Weg der Anwendung entstehen sie.

Hinzu kommen drei Einträge im lokalen Speicher des Browsers für Deine Oberflächen-Einstellungen (gantt400-theme für hell/dunkel, gantt400-language für die Sprache, g400.board.laneWidthPx.v1 für die Spaltenbreite im Board). Sie enthalten keinen Personenbezug und verlassen Deinen Browser nicht. Beim Abmelden und beim Mandantenwechsel kommt kurzzeitig gantt400.session.signal hinzu — damit andere offene Registerkarten vom Sitzungsende erfahren; der Eintrag wird unmittelbar nach dem Senden wieder gelöscht und enthält nur die Art des Ereignisses sowie Zeitstempel und Zähler des Sendevorgangs. Einzelheiten in der Cookie-Richtlinie § 2.2.

Rechtsgrundlage: § 25 Abs. 2 TDDDG (technisch erforderlich), Art. 6 Abs. 1 lit. f DSGVO. Details in unserer Cookie-Richtlinie.

6.2 Analyse und Marketing

Wir setzen keine Analyse-, Tracking- oder Marketing-Technologien ein (kein PostHog, kein Google Analytics, keine Retargeting-Pixel). Es ist daher kein Cookie-Consent-Banner erforderlich. Sollten wir künftig einwilligungsbedürftige Technologien einsetzen, werden wir diese Erklärung und die Cookie-Richtlinie entsprechend ergänzen und vorab eine Einwilligung einholen.

7. Drittanbieter, Auftragsverarbeiter und eigenständige Empfänger

Anbieter	Zweck	Standort	Rolle	AV-Vertrag
Hetzner Online GmbH	Webhosting, Server-Infrastruktur, Datenbank	Falkenstein, Deutschland (EU)	Auftragsverarbeiter	Ja
Plus Five Five, Inc. (Resend)	Transaktionale E-Mails	USA (DPF-zertifiziert)	Auftragsverarbeiter	Ja
Google Ireland Limited (für Nutzer im EWR); Google LLC, USA, als Betreiber der Programmierschnittstelle	Optionale Anmeldung mit einem Google-Konto — nur im Google-Anmeldeweg (§ 5.1)	Irland (EU) bzw. USA (DPF-zertifiziert)	Eigenständig Verantwortlicher	Nein — keine Auftragsverarbeitung

Die beiden erstgenannten Anbieter wurden sorgfältig ausgewählt; mit ihnen bestehen Verträge zur Auftragsverarbeitung gemäß Art. 28 DSGVO.

Google ist ausdrücklich kein Auftragsverarbeiter. Wer sich per Google anmeldet, authentifiziert sich gegenüber Google nach dessen eigener Datenschutzerklärung; Google entscheidet über Zwecke und Mittel dieses Vorgangs selbst und handelt nicht auf unsere Weisung. Ein Vertrag zur Auftragsverarbeitung wäre hier deshalb sachlich falsch und besteht nicht. Wir übermitteln Google keine Projekt-, Team- oder Mandantendaten; siehe auch den Abgrenzungshinweis in § 7 des AVV.

8. Datenübermittlung in Drittstaaten

Hetzner Online GmbH betreibt alle Server in Deutschland. Ein Drittstaaten-Transfer findet insoweit nicht statt.

Plus Five Five, Inc. (Resend) hat seinen Sitz in den USA. Die Datenübermittlung erfolgt auf Basis des EU-US Data Privacy Framework (Art. 45 DSGVO, Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023), ergänzt durch TLS-Verschlüsselung in Transit.

Optionale Google-Anmeldung. Am Anmeldevorgang sind zwei Verbindungen beteiligt, und wir benennen beide. Erstens leitet Dein eigener Browser Dich zu Google weiter; dabei wird ein von uns erzeugter Zufallswert mitgegeben, der den Vorgang gegen Fremdeinschleusung absichert. Zweitens tauscht unser Server anschließend direkt bei Google den einmaligen Anmelde-Code ein — dorthin gehen der Code, unsere Anwendungskennung und unser Anwendungsgeheimnis, und unser Server ruft Googles öffentliche Signaturschlüssel ab, um die Antwort zu prüfen. Googles Antwort enthält neben dem Identitäts-Token auch ein kurzlebiges Zugriffs-Token; wir lesen es nicht aus, verwenden es nicht und speichern es nicht — es wird mit der Antwort verworfen. Diese zweite Verbindung geht von uns aus, nicht von Deinem Browser.

Was dabei nicht an Google geht: kein bei uns gespeicherter Datenbestand — keine Projekt-, Chronik-, Team- oder Mandantendaten, keine Einladungs-Links, keine Listen anderer Nutzer. Was an Google geht, dient ausschließlich dazu, die Anmeldung einzulösen. In die Gegenrichtung erhalten wir die Kennung, Deine E-Mail-Adresse und deren Verifizierungsstatus — und, solange die Profil-Berechtigung angefordert wird, die in § 5.1 genannten Profilangaben, die wir weder verwenden noch speichern. Vertragspartner für Nutzer im EWR ist Google Ireland Limited (Irland, EU). Soweit Google Daten in die USA weitergibt, geschieht das in Googles eigener Verantwortung; Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert und führt dort auch die Schweiz-USA-Regelung sowie die Erweiterung für das Vereinigte Königreich (verifiziert am 08.09.2026: policies.google.com/privacy/frameworks).

Die DPF-Zertifizierung von Plus Five Five, Inc. (Resend) ist am 08.09.2026 an der Quelle geprüft: Resend erklärt die Zertifizierung nach den EU-US-DPF-Prinzipien und schließt ergänzend die EU-Standardvertragsklauseln ab (resend.com/legal/dpa). Sollte die Zertifizierung entfallen, trägt der Transfer über die Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) weiter.

9. Automatisierte Entscheidungsfindung

Wir setzen keine automatisierte Entscheidungsfindung oder Profiling im Sinne von Art. 22 DSGVO ein.

10. Deine Rechte

Du hast folgende Rechte bezüglich Deiner personenbezogenen Daten:

• Recht auf Auskunft (Art. 15 DSGVO) — Welche Daten wir über Dich gespeichert haben.
• Recht auf Berichtigung (Art. 16 DSGVO) — Korrektur unrichtiger Daten.
• Recht auf Löschung (Art. 17 DSGVO) — Löschung Deiner Daten, sofern keine Aufbewahrungspflichten bestehen.
• Recht auf Einschränkung (Art. 18 DSGVO) — Einschränkung der Verarbeitung unter bestimmten Voraussetzungen.
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO) — Erhalt Deiner Daten in einem strukturierten, maschinenlesbaren Format.
• Widerspruchsrecht (Art. 21 DSGVO) — Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen.
• Recht auf Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO) — Du kannst eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.

Zur Ausübung Deiner Rechte wende Dich an: datenschutz@gantt400.com

Besonderer Hinweis zum Widerspruchsrecht (Art. 21 DSGVO)

Du hast das Recht, aus Gründen, die sich aus Deiner besonderen Situation ergeben, jederzeit gegen die Verarbeitung Deiner personenbezogenen Daten, die auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen) erfolgt, Widerspruch einzulegen. Wir verarbeiten Deine Daten dann nicht mehr zu diesem Zweck, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Deine Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Den Widerspruch richtest Du an: datenschutz@gantt400.com

Recht auf Beschwerde

Du hast das Recht, Dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Die für uns zuständige Aufsichtsbehörde ist:

Die/Der Landesbeauftragte für den Datenschutz Niedersachsen
Prinzenstraße 5, 30159 Hannover
https://www.lfd.niedersachsen.de

Du kannst Dich auch an die Aufsichtsbehörde Deines Wohn- oder Arbeitsortes wenden.

11. Änderungen dieser Datenschutzerklärung

Wir aktualisieren diese Datenschutzerklärung bei Bedarf, insbesondere bei Änderungen unserer Datenverarbeitungen oder gesetzlicher Vorgaben. Bei wesentlichen Änderungen informieren wir registrierte Nutzer per E-Mail. Die aktuelle Fassung ist jederzeit auf dieser Seite abrufbar.

12. Sprachversionen

Im Falle von Abweichungen zwischen der deutschen und einer etwaigen englischen Fassung dieser Datenschutzerklärung ist die deutsche Fassung maßgeblich.

---

← Zurück zur Startseite