GRABLO DATENSCHUTZERKLÄRUNG
Gültig ab: 7. Mai 2026 (ursprünglich gültig ab 8. August 2025; Bestimmungen zu Abrechnungsdaten geändert mit Wirkung zum 1. Oktober 2026)
Zweck dieser Erklärung
Wir verpflichten uns, die Rechte unserer Nutzer auf Privatsphäre zu achten und zu schützen. Diese Datenschutzerklärung (die „Erklärung“) erläutert, wie die Grablo Inc. und ihre verbundenen Unternehmen („Grablo“, „wir“, „uns“, „unser“) Ihre personenbezogenen Daten erheben, verwenden, weitergeben und schützen, wenn Sie unsere Dienste nutzen. Hier nicht definierte Begriffe haben die Bedeutung, die ihnen in unseren Nutzungsbedingungen zugewiesen ist. Grablo ist eine nach dem Recht der Republik Korea gegründete Kapitalgesellschaft.
Zusammenfassung
Kurz gesagt:
- Wir erheben nur einen minimalen Umfang personenbezogener Daten: vor allem Konto- und Anmeldedaten sozialer Netzwerke, von Ihnen erstellte Inhalte sowie Informationen, die für den Betrieb bestimmter Funktionen erforderlich sind
- Wir leiten Ihre Sprach- und Audiodaten nicht über unsere Server (TTS-/STT-Aufrufe gehen mit Ihren eigenen Schlüsseln direkt von Ihrem Controller an Drittanbieter)
- Wir speichern Ihre IP-Adresse, Ihren Browser oder Ihren Geräte-Fingerabdruck nicht in unserer Anwendungsdatenbank
- Wir verwenden keine Analyse- oder Werbe-Tracking-Werkzeuge (kein Google Analytics, Sentry oder Ähnliches)
- Wir verkaufen Ihre personenbezogenen Daten nicht
- Wir speichern keine unverschlüsselten Zahlungsdaten (Karten- oder Kontonummern); Zahlungen für kostenpflichtige Dienste werden von externen Zahlungsanbietern abgewickelt, und wir bewahren nur minimale Transaktionsdaten auf
- Wir halten den koreanischen Personal Information Protection Act (PIPA) sowie, soweit anwendbar, die DSGVO der EU bzw. des Vereinigten Königreichs und Datenschutzgesetze von US-Bundesstaaten (CCPA/CPRA und ähnliche) ein
1. Geltungsbereich dieser Erklärung
Diese Erklärung gilt für alle Nutzer der Grablo-Dienste (die „Dienste“), einschließlich grablo.co, unserer mobilen Apps, der Grablo Controller-Software sowie des Galerie- und Community-Dienstes. Mit dem Zugriff auf die Dienste oder ihrer Nutzung bestätigen Sie, dass Sie diese Erklärung gelesen haben.
2. Von uns erhobene personenbezogene Daten
2.1 Von Ihnen bereitgestellte Informationen
- E-Mail-Adresse (erforderlich)
- Name (erforderlich)
- Passwort (erforderlich bei der Registrierung mit Zugangsdaten; als bcrypt-Einweg-Hash gespeichert)
- Daten aus der Anmeldung über soziale Netzwerke (nur wenn Sie sich mit Google, Naver, Kakao oder Apple anmelden): die Kennung (externalId), E-Mail-Adresse und Name (oder Spitzname), die der Anbieter mit Ihrer Einwilligung übermittelt, sowie ein Aktualisierungstoken (Refresh Token), sofern der Anbieter eines zurückgibt (wird verwendet, damit Sie angemeldet bleiben)
- Optional: Profilbild (von Ihnen hochgeladen, max. 5 MB), Angabe zur Einwilligung in Marketingmitteilungen
2.2 Von Ihnen erstellte Inhalte
- Projektdaten: Blockprogramme, Logik, Dashboard-Konfigurationen
- Nutzerbeiträge in Galerie und Community: Titel, Beschreibungen, angehängte Bilder (Titelbild/Vorschaubild), Kommentare, Likes, Lesezeichen
- Teilen von Projekten: E-Mail-Adresse des Empfängers, wenn Sie per E-Mail teilen
- Anfragen an den Kundensupport
2.3 Informationen, die wir nur bei Nutzung einer Funktion verarbeiten
- Push-Tokens (FCM für Android, APNs für iOS): nur wenn Sie die mobile App installieren und Benachrichtigungen erlauben
- TURN-Datenvolumen: kumulierte Bytes (monatlich zurückgesetzt) zur Verwaltung des Kontingents, wenn Sie WebRTC-P2P-Videostreaming nutzen
- Kontingentzähler: belegter Dateispeicher / Anzahl der Projekte
- Abrechnungsdaten: nur wenn Sie einen kostenpflichtigen Dienst erwerben: erworbenes Produkt (Abonnementtarif oder kostenpflichtige Vorlage), Betrag und Währung, Zahlungszeitpunkte, Art der Zahlungsmethode, Transaktions- und Abonnementkennungen des Zahlungsdienstleisters sowie Aufzeichnungen über Rückerstattungen und Kündigungen. Unverschlüsselte Zahlungsdaten (Karten- oder Kontonummern) werden vom Zahlungsdienstleister verarbeitet und von Grablo niemals erhoben oder gespeichert.
2.4 Durch den Betrieb des Dienstes erzeugte Informationen
- Anmeldesitzung und Cookies (siehe Abschnitt 14): damit Sie angemeldet bleiben und Ihre Einstellungen gespeichert werden
- Zeitstempel der Kontoaktivität (letzte Anmeldung, Passwortänderung)
- Nutzereinstellungen (Sprache, Design, zuletzt besuchtes Projekt, Favoriten)
2.5 Sensible Daten und biometrische Daten
- Wir erheben auf unseren Servern keine besonderen Kategorien personenbezogener Daten (sensible oder biometrische Daten).
- Wenn Sie die KI-Analysefunktionen (Gesichtserkennung, Fingerabdruck usw.) auf Ihrem Controller nutzen, werden die Registrierungsdaten lokal auf Ihrem Controller erstellt und gespeichert und nicht an Grablo übermittelt.
2.6 Was wir NICHT verarbeiten
- Sprach- und Audiodaten: TTS-Aufrufe (Sprachausgabe) und STT-Aufrufe (Spracherkennung) laufen mit Ihren eigenen API-Schlüsseln direkt von Ihrem Controller zum Drittanbieter (z. B. Google Cloud, OpenAI, ElevenLabs). Audiodaten laufen nie über Server von Grablo und werden nicht protokolliert.
- IP-Adresse, Browser-Fingerabdruck, Gerätekennung: werden nicht in unserer Anwendungsdatenbank gespeichert.
- Analyse und Werbe-Tracking: kein Google Analytics, Sentry oder ähnliche Werkzeuge.
- Standortdaten: werden nicht erhoben.
- Unverschlüsselte Zahlungsdaten: Karten- und Kontonummern werden von externen Zahlungsanbietern verarbeitet und von Grablo niemals gespeichert (siehe Abschnitt 2.3, Abrechnungsdaten).
2.7 Kommunikation zwischen Browser und Controller
Kommunikationsdaten zwischen Ihrem Browser und Controller-Geräten werden nicht über Server von Grablo geleitet oder dort gespeichert. WebRTC-P2P-Video kann über Cloudflare TURN weitergeleitet werden, wenn keine Direktverbindung möglich ist; die Signalisierung (SDP-/ICE-Metadaten) wird über unseren MQTT-Broker ausgetauscht (siehe Abschnitt 8).
3. Wie wir personenbezogene Daten erheben
- Direkt bei Ihnen (Registrierung, Bearbeitung des Profils, Anmeldung über soziale Netzwerke, Veröffentlichen von Inhalten, Supportanfragen)
- Von externen Identitätsanbietern, wenn Sie die Anmeldung über soziale Netzwerke wählen (Google / Naver / Kakao / Apple)
- Durch den Betrieb des Dienstes erzeugt (Sitzung, Cookies, Einstellungsstatus)
4. Zwecke und Rechtsgrundlagen der Verarbeitung
| Zweck | Rechtsgrundlage nach Art. 6 DSGVO | Rechtsgrundlage nach koreanischem PIPA |
|---|---|---|
| Erstellung und Verwaltung von Konten; Identifizierung von Nutzern; Erbringung der Dienste (Hosting von Projektdaten, Galerie, Push-Benachrichtigungen, Teilen von Projekten) | Vertragserfüllung (Art. 6 Abs. 1 lit. b) | PIPA Art. 15 Abs. 1 Nr. 4: Vertrag |
| Kundensupport, transaktionsbezogene Mitteilungen | Vertragserfüllung (Art. 6 Abs. 1 lit. b) | PIPA Art. 15 Abs. 1 Nr. 4 |
| Sicherheit des Dienstes, Betrugsprävention, Missbrauchsabwehr, Streitbeilegung | Berechtigte Interessen (Art. 6 Abs. 1 lit. f) / rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c) | PIPA Art. 15 Abs. 1 Nr. 2/6 |
| Erfüllung rechtlicher Verpflichtungen | Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c) | PIPA Art. 15 Abs. 1 Nr. 2 |
| Marketingmitteilungen (Newsletter, Einladungen zu Veranstaltungen) | Einwilligung (Art. 6 Abs. 1 lit. a): gesondert eingeholt und widerruflich | PIPA Art. 15 Abs. 1 Nr. 1 |
Wir treffen keine automatisierten Entscheidungen, die rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen, und wir erstellen keine individuellen Profile zu Marketingzwecken.
5. Wie wir personenbezogene Daten weitergeben
5.1 Wir verkaufen keine personenbezogenen Daten
Wir verkaufen, vermieten oder tauschen Ihre personenbezogenen Daten nicht. Im Sinne des California Consumer Privacy Act (CCPA/CPRA) und ähnlicher Gesetze von US-Bundesstaaten „verkaufen“ oder „teilen“ wir keine personenbezogenen Daten für kontextübergreifende verhaltensbasierte Werbung.
5.2 Dienstleister (Auftragsverarbeiter)
Zum Betrieb der Dienste geben wir Informationen an die in Abschnitt 8 aufgeführten externen Auftragsverarbeiter weiter. Jeder von ihnen ist vertraglich verpflichtet, personenbezogene Daten nur nach unseren Weisungen zu verarbeiten und sie zu schützen.
5.3 Offenlegung aus rechtlichen Gründen
Wir können personenbezogene Daten offenlegen, wenn dies gesetzlich, durch gerichtliche Anordnung oder behördliches Ersuchen vorgeschrieben ist oder zum Schutz von Rechten, Sicherheit und Eigentum erforderlich ist.
5.4 Unternehmensübertragungen
Ist Grablo an einer Fusion, Übernahme, einem Verkauf von Vermögenswerten oder einer ähnlichen Transaktion beteiligt, können personenbezogene Daten vorbehaltlich von Vertraulichkeitspflichten und geltendem Recht übertragen werden.
5.5 Zusammengefasste und anonymisierte Informationen
Wir können zusammengefasste oder anonymisierte Informationen weitergeben, die keine Person identifizieren.
6. Wie lange wir personenbezogene Daten aufbewahren
| Kategorie | Aufbewahrung |
|---|---|
| Kontoinformationen | Bis zur Löschung des Kontos, danach unverzügliche Löschung |
| Projektdaten und Nutzerbeiträge | Bis Sie diese löschen oder Ihr Konto schließen |
| Push-Tokens | Bis zum Ablauf des Tokens oder zur Abmeldung des Tokens beim Abmelden |
| Profilbild / Beitragsbilder (Cloudflare R2) | Bis Sie den zugrunde liegenden Datensatz löschen |
| TURN-Nutzungszähler | Kumuliert; monatliche Rücksetzung am Jahrestag des Kontos |
| Daten zur Missbrauchsprävention | Bis zu 1 Jahr nach Löschung des Kontos |
| Sicherungskopien | Bis zu 90 Tage nach Löschung des zugrunde liegenden Datensatzes |
| Aufzeichnungen über Verbraucherbeschwerden und Streitigkeiten | 3 Jahre (koreanisches Gesetz über den Verbraucherschutz im elektronischen Handel) |
| Aufzeichnungen über Verträge und den Widerruf von Angeboten | 5 Jahre (koreanisches Gesetz über den Verbraucherschutz im elektronischen Handel) |
| Aufzeichnungen über Zahlungen und die Lieferung von Waren bzw. Erbringung von Dienstleistungen | 5 Jahre (koreanisches Gesetz über den Verbraucherschutz im elektronischen Handel) |
| Aufzeichnungen über elektronische Finanztransaktionen | 5 Jahre (koreanisches Gesetz über elektronische Finanztransaktionen) |
7. Ihre Rechte
Nach Maßgabe des geltenden Rechts (koreanisches PIPA, DSGVO der EU bzw. des Vereinigten Königreichs, CCPA/CPRA und ähnliche Gesetze):
- Auskunft: Erhalt einer Kopie der personenbezogenen Daten, die wir über Sie gespeichert haben
- Berichtigung: Korrektur unrichtiger oder unvollständiger Daten
- Löschung: Löschung Ihrer Daten, vorbehaltlich gesetzlicher Aufbewahrungspflichten
- Einschränkung: Einschränkung der Verarbeitung unter bestimmten Umständen
- Widerspruch: Widerspruch gegen eine auf berechtigten Interessen beruhende Verarbeitung, einschließlich Direktwerbung
- Datenübertragbarkeit: Erhalt Ihrer Daten in einem strukturierten, gängigen und maschinenlesbaren Format
- Widerruf der Einwilligung: jederzeit, soweit die Einwilligung die Rechtsgrundlage ist (ohne Auswirkung auf die zuvor erfolgte Verarbeitung)
- Keine automatisierten Entscheidungen: nicht einer ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden, die rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt (derzeit treffen wir keine solchen automatisierten Entscheidungen)
- Recht auf Beschwerde bei der Aufsichtsbehörde in Ihrem Wohnsitzland (in Korea: PIPC, www.pipc.go.kr)
Um Ihre Rechte auszuüben, wenden Sie sich an support@grablo.co. Wir antworten innerhalb der nach geltendem Recht vorgeschriebenen Frist (in der Regel 10 Tage nach koreanischem PIPA, 30 Tage nach DSGVO). Wir können Ihre Identität überprüfen.
8. Von uns eingesetzte Auftragsverarbeiter
| Auftragsverarbeiter | Zweck | Verarbeitete Kategorien | Land | Aufbewahrung |
|---|---|---|---|---|
| Cloudflare, Inc. | Bildspeicherung (R2) und WebRTC-TURN-Relay | Hochgeladene Bilder (Profilbild, Titelbilder von Beiträgen); TURN-Sitzungsmetadaten | Vereinigte Staaten / weltweites Edge-Netzwerk | R2: bis zur Löschung des Datensatzes / TURN: keine Aufbewahrung über die Verarbeitung hinaus |
| Google LLC (Firebase) | Push-Benachrichtigungen unter Android (FCM) | Push-Token, Benachrichtigungsmetadaten | Vereinigte Staaten | Bis zum Ablauf oder zur Abmeldung des Tokens |
| Apple Inc. (APNs) | Push-Benachrichtigungen unter iOS | Push-Token, Benachrichtigungsmetadaten | Vereinigte Staaten | Bis zum Ablauf oder zur Abmeldung des Tokens |
| Namecheap, Inc. (PrivateEmail) | Ausgehende E-Mails von Grablo (Bestätigung der Registrierung, Zurücksetzen des Passworts usw.) | Empfängeradresse, Nachrichtentext | Vereinigte Staaten | Keine Aufbewahrung über die Zustellung hinaus |
| Google LLC | Anmeldung über Google | OAuth-Kennung, E-Mail-Adresse, Name, Aktualisierungstoken | Vereinigte Staaten | Bis zur Löschung des Kontos oder zur Trennung der Anmeldung über soziale Netzwerke |
| NAVER Corp. | Anmeldung über Naver | OAuth-Kennung, E-Mail-Adresse, Name | Republik Korea | Bis zur Löschung des Kontos oder zur Trennung der Anmeldung über soziale Netzwerke |
| Kakao Corp. | Anmeldung über Kakao | OAuth-Kennung, E-Mail-Adresse, Spitzname | Republik Korea | Bis zur Löschung des Kontos oder zur Trennung der Anmeldung über soziale Netzwerke |
| Apple Inc. | Mit Apple anmelden | OAuth-Kennung, E-Mail-Adresse (Weiterleitungsadresse möglich), Name | Vereinigte Staaten | Bis zur Löschung des Kontos oder zur Trennung der Anmeldung über soziale Netzwerke |
Die Zahlungsabwicklung und die wiederkehrende Abrechnung für kostenpflichtige Dienste sind einem externen Zahlungsdienstleister übertragen; dieser wird in diese Tabelle aufgenommen, sobald er beauftragt ist. Zahlungen von Nutzern außerhalb Koreas können von einem Händler (Merchant of Record) abgewickelt werden, der ebenfalls hier angegeben wird, sobald er eingesetzt wird.
Wir aktualisieren diese Tabelle, wenn wir Auftragsverarbeiter hinzufügen, entfernen oder wechseln.
Hinweis zu Diensten Dritter, die Sie über Ihren Controller direkt nutzen (z. B. Google Cloud / OpenAI / ElevenLabs für TTS/STT, von Ihnen betriebene Telegram-Bots, Home Assistant): Diese Dienste beauftragen Sie selbst und rufen sie mit Ihren eigenen Zugangsdaten auf; sie sind keine Auftragsverarbeiter von Grablo, und ihre Verarbeitung unterliegt deren eigenen Bedingungen und Datenschutzrichtlinien.
9. Internationale Datenübermittlungen
Einige der oben genannten Auftragsverarbeiter haben ihren Sitz außerhalb Ihres Wohnsitzlandes. Wenn wir personenbezogene Daten aus Korea oder dem EWR bzw. dem Vereinigten Königreich übermitteln, stützen wir uns auf:
- Angemessenheitsbeschlüsse, soweit vorhanden
- Standardvertragsklauseln (SCC), die von der Europäischen Kommission genehmigt wurden, bei Bedarf mit ergänzenden Maßnahmen
- Ihre ausdrückliche Einwilligung für bestimmte Übermittlungen, soweit nach Art. 28-8 des koreanischen PIPA erforderlich
Sie können internationalen Datenübermittlungen widersprechen; in diesem Fall steht Ihnen die betreffende Funktion (Push-Benachrichtigungen, Anmeldung über soziale Netzwerke, Hochladen von Bildern, P2P-Video) möglicherweise nicht zur Verfügung.
10. Sicherheitsmaßnahmen
Gemäß Art. 29 des koreanischen PIPA und Art. 30 der zugehörigen Durchführungsverordnung:
- Organisatorisch: Datenschutzbeauftragter, interner Managementplan, regelmäßige Schulung der Mitarbeitenden, Grundsatz des minimal erforderlichen Zugriffs
- Technisch: bcrypt-Einweg-Hashing von Passwörtern, TLS-Verschlüsselung bei der Übertragung, Zugriffskontrollen, Überwachung auf Schadsoftware, AES-256-Verschlüsselung der auf dem Controller gespeicherten Zugangsdaten
- Physisch: gesicherte Zugangskontrollen und Schließvorrichtungen für die Serverräume
Keine Übertragung über das Internet ist vollständig sicher; wir können keine absolute Sicherheit garantieren, setzen aber branchenübliche Schutzmaßnahmen ein.
11. Benachrichtigung bei Datenschutzverletzungen
Im Fall einer Verletzung des Schutzes personenbezogener Daten, die Ihre Informationen betrifft, benachrichtigen wir die betroffenen Nutzer unverzüglich (innerhalb von 72 Stunden, soweit nach Art. 33–34 DSGVO oder Art. 34 des koreanischen PIPA vorgeschrieben) und, soweit erforderlich, die zuständige Aufsichtsbehörde. Die Benachrichtigung enthält die betroffenen Kategorien, Zeitpunkt und Umstände, empfohlene Maßnahmen für Nutzer, unsere Gegenmaßnahmen und Ansprechpartner.
12. Datenschutz von Kindern
Wir wenden je nach Wohnsitz die folgenden Altersgrenzen an:
- Republik Korea: unter 14 Jahren: Die Erhebung erfordert die Einwilligung eines gesetzlichen Vertreters (PIPA Art. 22-2)
- Vereinigte Staaten (COPPA): unter 13 Jahren: Wir erheben wissentlich keine personenbezogenen Daten
- EU/EWR (Art. 8 DSGVO): unter 16 Jahren (oder dem von dem jeweiligen Mitgliedstaat festgelegten niedrigeren Alter, jedoch nicht unter 13 Jahren): Die Erhebung erfordert die Einwilligung der Eltern
Wenn Sie glauben, dass Ihr Kind uns ohne ordnungsgemäße Einwilligung personenbezogene Daten übermittelt hat, wenden Sie sich an support@grablo.co; wir löschen die Daten dann unverzüglich.
13. Berechtigungen der mobilen App
Gemäß Art. 22-2 des koreanischen Information and Communications Network Act:
- Erforderlich: Benachrichtigungen (Zustellung von Push-Benachrichtigungen)
- Optional: Kamera (Profilfotos), Fotos / Speicher (Profilbild und Beitragsbilder), Mikrofon (Audiostreaming mit dem Controller)
Sie können optionale Berechtigungen jederzeit in den Einstellungen Ihres Geräts widerrufen; die betreffende Funktion wird dann entsprechend deaktiviert.
14. Cookies und ähnliche Technologien
Wir verwenden Cookies für die unbedingt erforderliche Sitzungsverwaltung (Anmeldestatus) und zum Speichern von Nutzereinstellungen (Sprache, Design, ausgeblendete Banner). Wir verwenden keine Analyse- oder Werbe-Tracking-Cookies.
Sie können Cookies über die Einstellungen Ihres Browsers steuern. Wenn Sie unbedingt erforderliche Cookies blockieren, ist der Zugriff auf Funktionen, die eine Anmeldung erfordern, eingeschränkt.
Anleitungen für die einzelnen Browser:
- Edge: Einstellungen > Cookies und Websiteberechtigungen > Cookies und Websitedaten verwalten und löschen
- Chrome: Einstellungen > Datenschutz und Sicherheit > Cookies und andere Websitedaten
- Firefox: Einstellungen > Datenschutz & Sicherheit > Cookies und Website-Daten
- Safari: Einstellungen > Datenschutz > Websitedaten verwalten
- Whale: Einstellungen > Datenschutz > Cookies und andere Websitedaten
15. Änderungen dieser Erklärung
Wir können diese Erklärung ändern. Bei wesentlichen Änderungen informieren wir Sie mindestens 30 Tage vor dem Wirksamkeitsdatum (bei unwesentlichen Änderungen 7 Tage) über die Grablo-Website, per E-Mail oder durch eine Benachrichtigung im Dienst. Soweit örtliches Recht längere Fristen oder besondere Verfahren vorschreibt, haben diese Vorgaben Vorrang.
16. Datenschutzbeauftragter und Kontakt
Grablo Inc. Datenschutzbeauftragter: Young-Min Kim (CEO) Anschrift: 8, Dunsan-ro, Seo-gu, Daejeon, Republik Korea E-Mail: support@grablo.co Website: grablo.co
17. Aufsichtsbehörden
Für Einwohner Koreas:
- Personal Information Protection Commission (PIPC): www.pipc.go.kr
- Personal Information Dispute Mediation Committee: 1833-6972 (www.kopico.go.kr)
- Korea Internet & Security Agency (KISA) Privacy Infringement Report Center: 118 (privacy.kisa.or.kr)
Nutzer in der EU bzw. im EWR wenden sich bitte an ihre nationale Datenschutzaufsichtsbehörde.
Zuletzt aktualisiert: 7. Mai 2026