Datenschutzerklärung

für die Website aldor.ai und die Anwendung „Aldor" der Aldor GmbH.
Version 2.0, Stand 14. Oktober 2026.

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist die Aldor GmbH,
Wilmersdorfer Straße 60, 10627 Berlin, E-Mail: hallo@aldor.ai, vertreten durch
die Geschäftsführer Benedikt Hübenthal, Djamal Sadaghiani und Dominik Hübenthal.

Die Anwendung „Aldor" hat die PflegeHelfer24 GmbH, Wilmersdorfer Straße 60, 10627 Berlin,
entwickelt. Die Aldor GmbH hat sie übernommen. Kunden, die ihren Vertrag noch mit der
PflegeHelfer24 GmbH geschlossen haben, finden die Besonderheiten in Ziffer 3.

2. Datenschutzbeauftragter

Der Verantwortliche hat die heyData GmbH als externen Datenschutzbeauftragten benannt.
Kontakt: datenschutz@aldor.ai.

3. Unsere Rollen im Überblick

• Website (aldor.ai): Beim Besuch unserer Website sind wir Verantwortlicher für die dabei
  anfallenden Daten (Ziffern 4–6).
• Anwendung „Aldor": Für die Konto-, Vertrags- und Abrechnungsdaten unserer Kunden
  (Anbieter von Betreuungs- und Alltagshilfeleistungen) und ihrer Benutzer sind wir
  Verantwortlicher (Ziffer 7).
• Klientendaten unserer Kunden: Daten, die unsere Kunden in der Anwendung über ihre
  Klienten verarbeiten – einschließlich Gesundheitsdaten –, verarbeiten wir ausschließlich im
  Auftrag des jeweiligen Kunden nach Art. 28 DSGVO (Ziffer 9).
• Verträge mit der PflegeHelfer24 GmbH: Hat ein Kunde seinen Vertrag mit der
  PflegeHelfer24 GmbH geschlossen und der Übernahme durch die Aldor GmbH noch nicht
  zugestimmt, bleibt für seine Konto-, Vertrags- und Abrechnungsdaten die PflegeHelfer24 GmbH
  Verantwortlicher. Für seine Klientendaten bleibt sie Auftragsverarbeiter. Die Aldor GmbH
  verarbeitet diese Daten insoweit im Auftrag der PflegeHelfer24 GmbH.

4. Hosting und Server-Protokolle

Website und Anwendung werden in ISO-27001-zertifizierten Rechenzentren der Hetzner Online GmbH
in Deutschland (Falkenstein, Nürnberg) betrieben. Verschlüsselte Sicherungskopien liegen
zusätzlich in einem Rechenzentrum der Hetzner Online GmbH in Helsinki (Finnland). Beim Aufruf unserer
Seiten verarbeiten wir technisch notwendige Verbindungsdaten (aufgerufene Seite, Datum und
Uhrzeit, Browsertyp, Betriebssystem). IP-Adressen werden in unseren Protokollen nur gekürzt
oder mit täglich wechselndem Schlüssel gehasht gespeichert; eine Zusammenführung mit anderen
Daten findet nicht statt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (sicherer und
stabiler Betrieb).

5. Cookies

Wir setzen keine Werbe- oder Tracking-Cookies ein und binden keine Analyse-Dienste Dritter
ein. Es kommen ausschließlich technisch notwendige Cookies zum Einsatz (Sitzung, Anmeldung,
Spracheinstellung, Schutz vor Cross-Site-Request-Forgery). Diese sind für den Betrieb
erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG; Art. 6 Abs. 1 lit. f DSGVO); eine Einwilligung ist
hierfür nicht erforderlich.

6. Kontakt-, Demo- und Support-Anfragen

Wenn Sie uns über das Kontakt- bzw. Demo-Formular oder per E-Mail kontaktieren, verarbeiten
wir die von Ihnen mitgeteilten Angaben (Name, E-Mail-Adresse, Organisation, Inhalt der
Anfrage) zur Bearbeitung der Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO
(Anbahnung oder Durchführung eines Vertrags) bzw. Art. 6 Abs. 1 lit. f DSGVO. Wir löschen die
Daten, sobald sie für die Bearbeitung nicht mehr erforderlich sind und keine gesetzlichen
Aufbewahrungspflichten entgegenstehen.

7. Registrierung und Nutzung der Anwendung

(1) Konto- und Vertragsdaten. Bei der Registrierung und Nutzung von Aldor verarbeiten wir
die Daten Ihrer Organisation und ihrer Benutzer (Name, E-Mail-Adresse, Rolle,
Anmelde-Informationen, Vertrags- und Abrechnungsdaten) zur Bereitstellung der Anwendung.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

(2) Zahlungsabwicklung. Die Abrechnung des Aldor-Abonnements erfolgt über die Stripe
Payments Europe, Ltd. (Irland). Zahlungsdaten (z. B. Kartendaten) werden direkt bei Stripe
erhoben und nicht bei uns gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

(3) Bankabgleich (optional). Aktiviert Ihre Organisation den Bankabgleich für die
Abrechnung, ruft die BANKSapi Technology GmbH (München) als zugelassener Kontoinformationsdienst Umsätze
des von Ihnen verbundenen Geschäftskontos ab. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

(4) Adress-Eingabe und Routen. Für Adress-Autovervollständigung, Geokodierung und
Routenberechnung nutzen wir die Google Maps Platform (Google Ireland Limited). Dabei werden
die eingegebene Adresse und technische Verbindungsdaten (einschließlich IP-Adresse) an Google
übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO.

(5) Push-Benachrichtigungen. Benachrichtigungen an mobile Endgeräte werden über die
Push-Dienste des jeweiligen Geräteherstellers zugestellt: Apple Push Notification Service für
iOS und Google Firebase Cloud Messaging für Android. Übermittelt werden Push-Token und
Benachrichtigungstexte; diese können Namen und Nachrichtenauszüge enthalten. Rechtsgrundlage ist
Art. 6 Abs. 1 lit. b DSGVO.

(6) KI-Funktionen. KI-gestützte Hilfsfunktionen (z. B. der Lotte-Assistent und die
Dokumentenerkennung) verarbeiten die übergebenen Inhalte über Google Cloud Vertex AI in der
EU (Frankfurt); die Inhalte werden dort nicht gespeichert und nicht zum Training verwendet.

(7) E-Mail-Versand. Transaktions-E-Mails versenden wir über eigene Systeme in
deutschen Rechenzentren.

(8) Postalischer Briefversand (optional). Aktiviert Ihre Organisation den Briefversand,
werden zu versendende Dokumente (z. B. Rechnungen) über die Pingen GmbH (Zürich, Schweiz)
gedruckt, kuvertiert und zugestellt. Übermittelt werden Name und Anschrift des Empfängers
sowie das zu versendende Dokument. Für die Schweiz besteht ein Angemessenheitsbeschluss der
Europäischen Kommission (Art. 45 Abs. 3 DSGVO). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b
DSGVO; soweit Klientendaten betroffen sind, erfolgt die Verarbeitung im Auftrag des
jeweiligen Kunden (Ziffer 9).

(9) Anbindung eines bestehenden Postfachs (optional). Ihre Organisation kann ein
bestehendes Postfach mit Aldor verbinden: ein Google-Konto (Gmail oder Google Workspace), ein
Microsoft-365-Konto oder ein Postfach über IMAP und SMTP. Bei Google und Microsoft erteilen
Sie den Zugriff auf der Freigabeseite des Anbieters. Ihr Passwort erhalten wir dabei nicht;
wir speichern nur die vom Anbieter ausgestellten Zugriffstoken. Bei IMAP und SMTP speichern
wir die von Ihnen eingegebenen Zugangsdaten.

• Welche Daten: Nachrichten des verbundenen Postfachs mit Absender, Empfängern, Betreff,
  Inhalt und Anhängen, ihre Zuordnung zu Ordnern bzw. Labels sowie ihr Lese- und
  Markierungsstatus.
• Wozu: Wir verwenden diese Daten ausschließlich für die Funktionen, die Ihre
  Organisation in Aldor nutzt: Nachrichten im gemeinsamen Posteingang anzeigen und
  durchsuchen, Unterhaltungen Klienten zuordnen, Antworten und neue Nachrichten über das
  Postfach senden sowie Lesestatus, Markierungen und Verschiebungen (Posteingang, Archiv,
  Papierkorb, Spam) mit dem Postfach abgleichen. Aldor löscht keine Nachrichten endgültig aus
  Ihrem Postfach.
• KI-Funktionen: Den Inhalt einer Unterhaltung verarbeiten die KI-Funktionen nach
  Absatz (6) nur, wenn ein Benutzer dies anfordert, etwa für einen Antwortentwurf durch
  Lotte. Eine automatische KI-Auswertung des Postfachs findet nicht statt. Inhalte aus dem
  Postfach werden nicht zum Training von KI-Modellen verwendet.
• Speicherung: Betreff und Inhalt der Nachrichten, Zugriffstoken und Zugangsdaten
  speichern wir verschlüsselt (AES-256-GCM). Alle Daten einschließlich der Anhänge liegen in
  unseren Rechenzentren in Deutschland (Ziffer 4).
• Keine Weitergabe: Wir verkaufen diese Daten nicht und verwenden sie nicht für Werbung.
  Wir geben sie nur an die für den Betrieb erforderlichen Unterauftragsverarbeiter weiter
  (Ziffer 10) oder wenn eine gesetzliche Pflicht oder der Schutz vor Missbrauch es erfordert.
  Unsere Mitarbeiter lesen Nachrichten aus Ihrem Postfach nur, wenn Sie dem für bestimmte
  Nachrichten ausdrücklich zustimmen (zum Beispiel in einer Support-Anfrage), wenn es für die
  Sicherheit erforderlich ist oder wenn das Gesetz es verlangt.
• Rollen und Rechtsgrundlage: Für die Verbindung selbst sind wir Verantwortlicher;
  Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Inhalte des Postfachs verarbeiten wir
  im Auftrag des jeweiligen Kunden (Ziffer 9).
• Verbindung trennen: Sie können die Verbindung jederzeit unter Einstellungen → E-Mail
  mit „Verbindung trennen" beenden. Danach greift Aldor nicht mehr auf das Postfach zu. Die
  Freigabe können Sie zusätzlich in Ihrem Google-Konto (myaccount.google.com/permissions)
  oder in Ihrem Microsoft-Konto widerrufen. Bereits geladene Nachrichten bleiben als Teil der
  Kommunikation Ihrer Organisation in Aldor erhalten und werden nach Ziffer 11 gelöscht.
• Google API Services User Data Policy: Die Nutzung von Informationen, die Aldor über
  Google-APIs erhält, und ihre Übertragung an andere Apps entsprechen der
  Google API Services User Data Policy
  einschließlich der Anforderungen zur eingeschränkten Nutzung (Limited Use). Im Wortlaut:
  „Aldor's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements."

8. Standortdaten in der mobilen App (GPS)

(1) Wann die App auf den Standort zugreift. Die mobile Aldor-App greift auf den
Standort (GPS-Position) des von Ihnen genutzten Geräts zu, wenn Sie der App die
Standortfreigabe erteilen. In welchem Umfang dies geschieht, legt der
Betreuungsdienst, für den Sie tätig sind, über die Einstellung „GPS-Modus" fest. In
der Standardeinstellung erfasst die App die Position beim Ein- und Ausstempeln und
während einer aktiven Tour. Der Betreuungsdienst kann die laufende Erfassung während
der Tour abschalten. Die Standortfreigabe können Sie jederzeit in den Einstellungen
Ihres Geräts widerrufen.

(2) Zu welchen Zwecken. Die Position wird zu folgenden Zwecken verarbeitet:

• Einsatznachweis beim Stempeln: Beim Beginn und Abschluss eines Einsatzes
  (Ein- und Ausstempeln) wird die zu diesem Zeitpunkt ermittelte Position erfasst,
  um die Anwesenheit beim Einsatz zu bestätigen und den Leistungs- und
  Zeitnachweis zu belegen.
• Live-Tourenübersicht: Während einer aktiven Tour übermittelt die App in
  Abständen die aktuelle Position, damit die Disposition den Tourfortschritt auf
  einer Karte verfolgen kann.

Eine dauerhafte oder verdeckte Ortung außerhalb dieser Zwecke findet nicht statt:
außerhalb eines Stempelvorgangs bzw. einer aktiven Tour werden keine
Positionsdaten erhoben, und es wird kein Bewegungsprofil erstellt.

(3) Welche Daten. Erhoben werden Breiten- und Längengrad, die Genauigkeit der
Ortung (in Metern) sowie der Zeitpunkt der Erfassung.

(4) Verantwortlicher und Rechtsgrundlage. Verantwortlicher für die
Verarbeitung Ihrer Standortdaten ist der Betreuungsdienst als Ihr Arbeitgeber;
wir verarbeiten sie ausschließlich in dessen Auftrag nach Art. 28 DSGVO
(Ziffer 9). Rechtsgrundlage ist das Beschäftigungsverhältnis (§ 26 BDSG) sowie
Art. 6 Abs. 1 lit. b und lit. f DSGVO (Durchführung des Einsatzes, Nachweis der
erbrachten Leistung, Koordination der Tour). Fragen zu Zweck und Umfang der
Standorterfassung sowie Auskunfts- und Löschbegehren richten Sie an Ihren
Betreuungsdienst; an uns gerichtete Anfragen leiten wir unverzüglich dorthin
weiter.

(5) Speicherung, Löschung und Weitergabe. Standortdaten werden verschlüsselt
gespeichert (AES-256-GCM). Die Positionen der Live-Tourenübersicht werden nur
flüchtig zwischengespeichert und nach kurzer Zeit automatisch verworfen. Beim
Stempeln erfasste Positionen werden nach Abschluss der Tour gelöscht, sofern der
Betreuungsdienst nicht die dauerhafte Aufbewahrung zum Leistungsnachweis gewählt
hat. Standortdaten werden nicht an Dritte weitergegeben und nicht zu Werbezwecken
verwendet.

9. Verarbeitung im Auftrag unserer Kunden (Klientendaten)

Unsere Kunden verarbeiten in Aldor personenbezogene Daten ihrer Klienten – darunter
Gesundheitsdaten nach Art. 9 DSGVO (z. B. Pflegegrad und Betreuungsdokumentation).
Verantwortlicher für diese Daten ist der jeweilige Kunde; wir verarbeiten sie ausschließlich
in seinem Auftrag auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO.
Betroffene wenden sich für Auskunft, Berichtigung oder Löschung an den jeweiligen Anbieter
ihrer Betreuungsleistung; an uns gerichtete Anfragen leiten wir unverzüglich dorthin weiter.

10. Empfänger und Unterauftragsverarbeiter

Wir geben personenbezogene Daten nur an die Dienstleister weiter, die für den Betrieb von
Aldor erforderlich sind. Die PflegeHelfer24 GmbH unterstützt uns bei Entwicklung, Wartung und
Support der Anwendung und greift dabei nur anlassbezogen auf personenbezogene Daten zu. Die vollständige, laufend aktualisierte Liste unserer
Unterauftragsverarbeiter ist im Trust Center unter aldor.ai/vertrauen veröffentlicht. Soweit
einzelne Dienste Daten in Drittländern verarbeiten (insbesondere Push-Benachrichtigungen und
der optionale Briefversand), geschieht dies auf Grundlage eines Angemessenheitsbeschlusses der
Europäischen Kommission (Art. 45 DSGVO, z. B. Schweiz) oder geeigneter Garantien nach
Art. 44 ff. DSGVO (EU-Standardvertragsklauseln). Eine Weitergabe zu Werbezwecken findet nicht
statt.

11. Speicherdauer und Löschung

Wir speichern personenbezogene Daten für die Dauer des Vertragsverhältnisses zuzüglich der
gesetzlichen Aufbewahrungsfristen (insbesondere 10 Jahre für abrechnungs- und steuerrelevante
Unterlagen). Nach Vertragsende stellen wir unseren Kunden einen vollständigen Datenexport
bereit; anschließend löschen wir die Daten nach Maßgabe des Auftragsverarbeitungsvertrags.

12. Datensicherheit

Personenbezogene Daten und Gesundheitsdaten werden feldweise verschlüsselt (AES-256-GCM),
bevor sie die Datenbank erreichen; die Schlüssel liegen außerhalb der Datenbank. Alle
Verbindungen sind TLS-verschlüsselt, die Mandanten sind auf Datenbankebene strikt getrennt.
Die vollständigen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO sind im
Trust Center unter aldor.ai/vertrauen veröffentlicht.

13. Ihre Rechte

Sie haben gegenüber dem jeweils Verantwortlichen das Recht auf Auskunft (Art. 15 DSGVO),
Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18),
Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage von
Art. 6 Abs. 1 lit. f DSGVO (Art. 21). Eine erteilte Einwilligung können Sie jederzeit mit
Wirkung für die Zukunft widerrufen. Wenden Sie sich hierzu an hallo@aldor.ai; wir antworten
innerhalb von 14 Tagen. Eine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO
findet nicht statt.

14. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für uns
zuständig ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit,
Alt-Moabit 59–61, 10555 Berlin.

15. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Anwendung, unsere Dienstleister oder
die Rechtslage ändern. Es gilt die jeweils unter aldor.ai/datenschutz veröffentlichte Fassung.