Datenschutzerklärung

ToDo-Liste von IT Wolf · todo.it-wolf.org · Stand: 18. Oktober 2026

Die ToDo-Liste ist ein privat betriebenes, kostenloses Angebot ohne Werbung. Hier steht, welche Daten dabei anfallen, wofür sie gebraucht werden und wie du sie wieder loswirst. Wer die App nicht nutzt, hinterlässt hier nichts außer den üblichen Zugriffsdaten des Hosters (Abschnitt 5).

1. Wer ist verantwortlich?

Hendrik Wolf (IT Wolf), privat und nicht kommerziell.
Kontakt für alle Fragen zum Datenschutz: [email protected]

2. Was die App ist

Mit der ToDo-Liste organisierst du Aufgaben in Listen, Bereichen und Themen, teilst Listen mit anderen, trägst Gewohnheiten und Arbeitszeiten ein und siehst alles in einem Kalender. Auf Wunsch kannst du deinen Google Kalender verbinden, damit deine Termine neben den ToDos stehen und du Termine von dort aus anlegen kannst. Ein Konto gibt es nur auf Einladung; wer noch keins hat, kann sich auf eine Warteliste eintragen.

3. Welche Daten verarbeitet werden

Konto und Anmeldung

E-Mail-Adresse. Sie ist dein Zugang. Die Anmeldung läuft ohne Passwort: du bekommst einen Link (und einen Code) per E-Mail, beide gelten 10 Minuten und nur einmal. Gespeichert wird nur ein Hash davon, nicht der Code selbst.
Sitzungs-Cookie todo_session. Es hält dich angemeldet (bis du dich abmeldest), ist von JavaScript aus nicht lesbar und gilt für alle Seiten unter it-wolf.org. In der Datenbank liegt nur ein Hash des Werts.
Rechtsgrundlage: Bereitstellung der App für dich, Art. 6 Abs. 1 lit. b DSGVO.

Deine Inhalte

Listen, Bereiche, Themen, ToDos mit Notizen, Terminen und Unterpunkten, Gewohnheiten und ihr Verlauf, erfasste Arbeitszeiten und deine Einstellungen. Das sind deine eigenen Eingaben; sie werden nur gespeichert, damit du sie auf allen deinen Geräten wiederfindest. Teilst du eine Liste, sehen die Personen, mit denen du sie teilst, ihren Inhalt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Warteliste

Trägst du dich ein, speichere ich deinen Namen und deine E-Mail-Adresse, um dich freizuschalten oder abzulehnen. Zum Schutz vor automatischen Einträgen läuft dabei die Bot-Prüfung „Turnstile“ von Cloudflare. Rechtsgrundlage: deine Anfrage, Art. 6 Abs. 1 lit. b DSGVO.

Benachrichtigungen (freiwillig)

Schaltest du Benachrichtigungen ein, speichere ich die Adresse deines Geräts beim Push-Dienst deines Browsers (Google, Apple oder Mozilla). Die Nachricht nennt nur, wie viele ToDos fällig sind oder dass Gewohnheiten offen sind. Du kannst sie jederzeit ausschalten. Rechtsgrundlage: deine Einwilligung, Art. 6 Abs. 1 lit. a DSGVO.

Speicher im Browser

Die App legt auf deinem Gerät Einstellungen (Hell/Dunkel, Ansicht, Zoom) und eine Kopie deiner ToDos ab, damit sie auch ohne Internet startet. Das ist technisch nötig und bleibt auf deinem Gerät. Werbe- oder Analyse-Cookies gibt es nicht.

4. Google Kalender (nur wenn du ihn verbindest)

Was passiert

Erst wenn du in den Einstellungen oder im Kalender auf „Mit Google verbinden“ klickst, leitet dich die App zu Google weiter. Dort entscheidest du, ob du den Zugriff erlaubst. Ohne diesen Klick fließen keine Google-Daten.

Welche Berechtigungen die App anfragt, und wofür

openid und email: um dir „verbunden als …“ mit deiner Google-Adresse zu zeigen. Mehr nicht.
https://www.googleapis.com/auth/calendar.calendarlist.readonly: um die Liste deiner Kalender (Name und Farbe) zu lesen, damit du wählen kannst, welche die App anzeigt.
https://www.googleapis.com/auth/calendar.events: um deine Termine zu lesen und im Kalender der App anzuzeigen, und um Termine anzulegen, zu ändern und zu löschen, aber Letzteres nur, wenn du das im Kalender der App selbst auslöst.

Was gespeichert wird, und was nicht

Gespeichert werden deine Google-Adresse, ein Aktualisierungs-Token, das kurzlebige Zugriffs-Token, die erteilten Berechtigungen und das Datum der Verbindung. Das Token liegt in der Datenbank des Betreibers und wird nur benutzt, um deine Termine in deinem Auftrag abzurufen.
Nicht gespeichert werden deine Termine. Sie werden bei jedem Öffnen des Kalenders direkt von Google geholt und nur im Arbeitsspeicher deines Browsers gehalten.

Wofür deine Google-Daten verwendet werden

Ausschließlich, um dir in der App deine Termine anzuzeigen und Termine auf deine Anweisung hin anzulegen, zu ändern oder zu löschen. Sie werden nicht verkauft, nicht für Werbung genutzt, nicht für andere Zwecke ausgewertet, nicht zum Training von KI- oder Machine-Learning-Modellen verwendet und nicht an Dritte weitergegeben. Ich lese deine Kalenderinhalte nicht. Einzige Ausnahme sind Zugriffe, die du selbst auslöst, und gesetzliche Pflichten. Die App ruft Termine nur ab, wenn du den Kalender benutzt, nie im Hintergrund und nie für Benachrichtigungen.

Verbindung trennen und Daten löschen

In den Einstellungen unter „Google Kalender“ auf „Verbindung trennen“: die App widerruft den Zugriff bei Google und löscht das Token sofort aus ihrer Datenbank.
Du kannst den Zugriff auch bei Google entziehen: myaccount.google.com/permissions. Die App erkennt das und räumt die Verbindung auf.
Löschst du dein Konto (Abschnitt 7), verschwindet auch die Google-Verbindung.

Rechtsgrundlage: deine Einwilligung, Art. 6 Abs. 1 lit. a DSGVO. Du kannst sie jederzeit widerrufen.

Google API Services User Data Policy

The use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

5. Empfänger und Dienstleister

Cloudflare, Inc. (USA): Hosting der App, Datenbank (so eingestellt, dass sie in der EU liegt) und die Bot-Prüfung der Warteliste. Cloudflare verarbeitet dabei auch technische Zugriffsdaten wie die IP-Adresse, um die Seite auszuliefern und abzusichern. Die App selbst speichert keine IP-Adressen. Bei Cloudflare und Resend kann es zu einer Übermittlung in die USA kommen; die Anbieter sichern sie über EU-Standardvertragsklauseln oder das EU-US Data Privacy Framework ab.
Resend (USA): Versand der Anmelde-Mails über [email protected]. Resend bekommt dafür deine E-Mail-Adresse und den Text der Mail.
Google (nur wenn du den Kalender verbindest): siehe Abschnitt 4.
Push-Dienste deines Browsers (Google, Apple, Mozilla), nur wenn du Benachrichtigungen einschaltest.
cron-job.org löst zu festen Uhrzeiten die Prüfung aus, ob Erinnerungen fällig sind. Es bekommt dabei keine personenbezogenen Daten.

Zur Verwaltung der Warteliste bekommt der Betreiber eine E-Mail mit deinem Namen und deiner Adresse. Eine Weitergabe darüber hinaus findet nicht statt.

6. Wie lange Daten gespeichert bleiben

Anmeldelinks und -codes: 10 Minuten (der Link in einer Willkommens-Mail nach der Freischaltung: 7 Tage).
Sitzung: bis du dich abmeldest oder dein Konto löschst.
Deine Inhalte und das Google-Token: bis du sie löschst, die Verbindung trennst oder dein Konto löschst.
Wartelisten-Eintrag: bis zur Entscheidung, danach bis du ihn löschen lässt.

7. Deine Rechte, und wie du dein Konto löschst

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch, und du kannst Einwilligungen jederzeit widerrufen (Art. 15 bis 21 und 7 Abs. 3 DSGVO). Schreib dafür an [email protected].

Konto löschen kannst du selbst: in der App auf das Zahnrad, im Bereich „Konto“ auf „Konto löschen“, dann deine E-Mail-Adresse zur Bestätigung eintippen. Dabei werden dein Konto, deine Listen, Gewohnheiten und Zeiten, deine Geräte für Benachrichtigungen, offene Anmeldecodes, ein Wartelisten-Eintrag und die Google-Verbindung gelöscht. Listen, in die du nur eingeladen warst, bleiben für die anderen bestehen.

Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel der deines Bundeslandes.

8. Änderungen

Ändert sich etwas an der App, was diese Erklärung betrifft, passe ich sie an. Das Datum oben zeigt den Stand.

Summary in English (for Google)

ToDo-Liste - IT Wolf (todo.it-wolf.org) is a free, privately operated to-do list. Accounts exist by invitation only. Sign-in is passwordless, by a one-time link sent to the user's e-mail address.

Google user data. Only if a user clicks "Connect with Google", the app requests openid, email, calendar.calendarlist.readonly and calendar.events. The calendar list (names and colors) and the events are read to display them in the app's own calendar view next to the user's to-dos. Events are created, changed or deleted only when the user does so inside the app. The user's e-mail address is shown as "connected as …" and is not used for anything else.

Storage. We store the Google e-mail address, the refresh token, the short-lived access token, the granted scopes and the connection date. Calendar events are not stored; they are fetched from Google on demand and held only in the browser's memory.

Use and sharing. Google user data is used only to provide these user-facing features. It is not sold, not used for advertising, not used to develop, improve or train AI/ML models, and not transferred to third parties. No humans read it, except with the user's consent, for security purposes, or to comply with law.

Revocation and deletion. Users can disconnect in the app's settings ("Verbindung trennen"), which revokes the token at Google and deletes it from our database, or at myaccount.google.com/permissions. Deleting the account deletes the Google connection as well. Contact: [email protected].

The use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

Zur ToDo-Liste · Kontakt