Datenschutzerklärung für Grove

Verantwortlich für Grove und diese Seiten ist die Cloud Garden GmbH. Anschrift, Registereintrag und Vertretung stehen im Impressum.

Kontakt für Fragen zum Datenschutz, Auskunft und Löschung: hello@cloud.garden

Grove ist ein persönlicher Assistenzdienst aus einer privaten iPhone-App und einem Dienst auf einem Mac mini von Cloud Garden. Grove wird in einer einzelnen, privat verwalteten Installation genutzt und bietet keine öffentliche Registrierung.

Diese Erklärung gilt für den Zugriff von Grove auf Google-Konten über die Google-Anwendung, die bei Google „Theo Workspace Connector“ heißt, für die weitere Verarbeitung dieser Daten und für den Aufruf dieser Seiten.

Grove greift nur auf Konten zu, deren Inhaber den Zugriff im Freigabedialog von Google bestätigt hat. Die Anmeldung findet bei Google statt. Grove erhält kein Passwort, sondern eine widerrufbare Zugangsberechtigung.

Persönliche Konten: nur lesen

In persönlichen Konten sendet, ändert oder löscht Grove nichts.

Eigenes Konto des Assistenten: lesen und schreiben

Der Assistent besitzt ein eigenes Google-Konto. Dafür sind über dieselbe Google-Anwendung zusätzlich die Bereiche gmail.modify, gmail.send, calendar, drive, documents und spreadsheets freigegeben. Mit diesem Konto kann der Assistent E-Mails senden und ordnen sowie Termine, Dateien, Dokumente und Tabellen anlegen, ändern und löschen. Persönliche Konten werden darüber nicht verändert.

Daten anderer Personen

E-Mails, Termine und Kontakte enthalten auch Angaben anderer Personen, etwa Absender, Empfänger und Teilnehmer. Grove verarbeitet diese Angaben im selben Umfang und zu denselben Zwecken.

E-Mails

Alle 30 Minuten liest Grove neue E-Mails der verbundenen persönlichen Konten, höchstens 50 je Konto und Abruf. Beim Einrichten reicht der Rückblick 24 Stunden zurück. Grove übernimmt den selbst verfassten Text einer Mail ohne zitierten Verlauf. Entwürfe bleiben ausgenommen. Erkennt Grove in einer Mail Zugangsdaten, wird sie ohne Inhalt als ausgelassen vermerkt.

Ein Sprachmodell prüft neue Mails auf Aufgaben, Zusagen, Absagen und erledigte Punkte. Mails, die dauerhaft nützliches Wissen oder Aufträge enthalten, liest danach der Assistent mit dem zugehörigen Verlauf und schlägt Wissenseinträge vor. Grove prüft jeden Vorschlag, bevor er gespeichert wird. Jeder Eintrag verweist mit einem wörtlichen Zitat auf die Originalstelle.

Termine

Alle 30 Minuten gleicht Grove die Kalender ab, vom Zeitraum 14 Tage zurück bis 30 Tage voraus. Dabei liest kein Sprachmodell die Termine. Grove nutzt sie für Erinnerungen und Tagesüberblicke und um zu erkennen, ob ein zugesagter Termin vereinbart wurde.

Dateien, Kontakte und gezielte Suche

Dateien, Kontakte und ältere E-Mails liest Grove nur, wenn eine Frage oder ein Auftrag es erfordert. Die Agenten erhalten dann die gefundenen Inhalte als Arbeitsgrundlage.

Was ausgeschlossen ist

• Kein Verkauf und keine Weitergabe an Werbenetzwerke, Datenhändler oder Wiederverkäufer.
• Keine Nutzung für Werbung und keine Prüfung der Kreditwürdigkeit.
• Keine Nutzung, um allgemeine KI-Modelle zu erstellen, zu trainieren oder zu verbessern.
• Inhalte sieht die Person, deren Konto verbunden ist. Andere Menschen lesen sie nur mit ausdrücklicher Zustimmung, wenn es zur Sicherheit nötig ist oder wenn ein Gesetz es verlangt.

Damit Grove Fragen beantworten und Aufgaben erkennen kann, gehen die jeweils nötigen Inhalte an Sprachmodelle externer Anbieter. Eine Verarbeitung ausschließlich auf dem Mac findet nicht statt. Die Nutzung zum Training von KI-Modellen ist bei allen eingesetzten KI-Diensten ausgeschaltet: bei der OpenAI-Schnittstelle nach den Bedingungen des Anbieters, bei den Abonnements von OpenAI und Anthropic durch die jeweilige Einstellung. Die Ausnahmen der Anbieter für Feedback stehen bei den Abonnements.

OpenAI, Schnittstelle mit API-Schlüssel

Wofür: Prüfung neuer E-Mails auf Aufgaben und Zusagen (Modell gpt-6-luna), Sprachgespräche in der iPhone-App mit Zugriff auf den Wissensbestand, Vorlesen von Antworten und kurze Gesprächstitel.

Laut OpenAI werden über die Schnittstelle gesendete Inhalte nicht zum Training genutzt, solange keine ausdrückliche Freigabe erteilt ist. Protokolle zur Missbrauchserkennung bleiben bis zu 30 Tage gespeichert. Gesprächstitel fragt Grove ohne Speicherung beim Anbieter ab. Die Speicherung von Live-Sprachsitzungen ist bei OpenAI standardmäßig ausgeschaltet. Eine Verarbeitung ausschließlich in der EU ist nicht vereinbart.

Vertragspartner ist OpenAI Ireland Limited als Auftragsverarbeiter. Übermittlungen außerhalb des EWR stützt OpenAI laut Auftragsverarbeitungsvertrag auf Standardvertragsklauseln oder einen Angemessenheitsbeschluss.

Belege: Your data · Enterprise privacy · Data Processing Addendum

OpenAI, ChatGPT-Abonnement

Wofür: Der Assistent (Modell gpt-6.1-sol) und Codex melden sich mit einem ChatGPT-Konto an. Der Assistent liest relevante E-Mails für Wissenseinträge, beantwortet Fragen und schreibt Erinnerungen. Codex prüft Wissenseinträge nachträglich und übernimmt Aufträge. Über die Grove-Verbindung in ChatGPT können Inhalte auch in ChatGPT-Gespräche gelangen.

Die Nutzung zum Training ist für dieses Konto ausgeschaltet; laut OpenAI gilt die Einstellung auch für Codex. Inhalte, zu denen ausdrücklich Feedback gegeben wird, kann OpenAI dennoch zum Training nutzen. Gespeicherte Chats bleiben bis zur Löschung erhalten und werden danach laut OpenAI innerhalb von 30 Tagen entfernt.

Vertragspartner für Nutzer im EWR ist OpenAI Ireland Limited. Für Übermittlungen in Länder ohne Angemessenheitsbeschluss stützt sich OpenAI laut seiner Datenschutzerklärung auf Standardvertragsklauseln.

Belege: How your data is used · Data Controls FAQ · Aufbewahrung in ChatGPT · EU Privacy Policy

Anthropic, Claude-Max-Abonnement

Wofür: Claude Code übernimmt Aufträge auf dem Mac mini und auf dem Arbeitsrechner des Nutzers und liest dabei Inhalte aus Grove. Über die Grove-Verbindung in claude.ai können Inhalte auch in Claude-Gespräche gelangen.

Die Einstellung zur Modellverbesserung ist für dieses Konto ausgeschaltet. Für Claude Code gilt dann laut Anthropic eine Aufbewahrung von 30 Tagen. Gespräche in claude.ai bleiben bis zur Löschung erhalten und werden danach innerhalb von 30 Tagen entfernt. Inhalte, die als Feedback gesendet oder zur Sicherheitsprüfung markiert werden, kann Anthropic dennoch zum Training nutzen.

Vertragspartner für Nutzer im EWR ist Anthropic Ireland, Limited. Für Übermittlungen in Länder ohne Angemessenheitsbeschluss stützt sich Anthropic laut seiner Datenschutzerklärung auf Standardvertragsklauseln.

Belege: Claude Code data usage · How long do you store my data · Consumer Terms · Privacy Policy

Cloudflare

Wofür: Der Fernzugang von ChatGPT und claude.ai zu Grove läuft über einen Cloudflare-Tunnel mit vorgeschalteter Anmeldung. Die übertragenen Inhalte laufen dabei durch das Netz von Cloudflare. Cloudflare liefert außerdem diese Seiten aus.

Cloudflare handelt laut Auftragsverarbeitungsvertrag als Auftragsverarbeiter. Cloudflare, Inc. ist nach dem EU-U.S. Data Privacy Framework zertifiziert (Liste des US-Handelsministeriums, abgerufen am 22.10.2026: aktiv, Rezertifizierung in Prüfung).

Belege: Customer DPA · Privacy Policy · Data Privacy Framework List

GitHub

Wofür: privates Repository mit dem stündlichen Export der Wissenseinträge.

Laut GitHub werden Inhalte privater Repositories nicht zum Training von KI-Modellen genutzt, solange sie nicht als Eingabe an KI-Funktionen wie Copilot gehen. GitHub ist nach dem EU-U.S. Data Privacy Framework zertifiziert (Liste, abgerufen am 22.10.2026: aktiv).

Belege: Terms of Service, Abschnitt E · Privacy Statement · Data Privacy Framework List

Apple

Wofür: Der Ordner mit den Wissenseinträgen liegt in iCloud Drive. Erinnerungen und Antworten des Assistenten kommen per iMessage. Mitteilungen der iPhone-App laufen über den Push-Dienst von Apple und können Gesprächstitel enthalten.

Grove läuft auf einem Mac mini im Besitz von Cloud Garden. Der Grove-Dienst nimmt Verbindungen nur auf dem Mac selbst an. Von außen erreichbar ist er nur über ein privates Tailscale-Netz für die iPhone-App und über den Cloudflare-Tunnel mit vorgeschalteter Anmeldung für ChatGPT und claude.ai.

• Auf dem Mac mini: gelesene Mailtexte als Quellfassung, abgeglichene Termine, Aufgaben und Zusagen mit Belegzitaten, Wissenseinträge, Gespräche, Ergebnisdateien und Betriebsdaten.
• Zugangsberechtigungen für Google liegen in gesonderten Dateien auf dem Mac mini, die nur das Benutzerkonto des Dienstes lesen darf.
• Verläufe der Agenten. Der Assistent, Claude Code und Codex führen eigene Verläufe auf dem Mac mini und auf den Geräten, auf denen sie genutzt werden.
• Sicherungen. Grove sichert den Bestand täglich in ein Verzeichnis auf dem Mac mini.
• Wissensbestand. Die Wissenseinträge liegen zusätzlich als Textdateien in iCloud Drive. Bei Änderungen exportiert Grove sie stündlich in ein privates GitHub-Repository. Quellfassungen, Originalgespräche und Zugangsdaten sind davon ausgenommen.
• Bei den Anbietern der KI-Dienste nach deren Bedingungen, siehe oben.

Es gibt keine allgemeine Löschfrist. Nach 90 Tagen fasst Grove abgeschlossene Gesprächsverläufe zusammen, wenn ihre Originalbelege im Wissensbestand erhalten sind. Wissen, offene Aufgaben und Sicherungen sind davon nicht erfasst.

Löschanfragen gehen an hello@cloud.garden. Gelöscht werden können:

• einzelne Wissenseinträge samt Belegen und früheren Fassungen,
• eine gespeicherte Quelle, etwa eine Mail, samt allen daraus abgeleiteten Wissenseinträgen,
• die betroffenen Dateien im Wissensordner und in der erreichbaren Geschichte des GitHub-Exports.

Ein Sperrvermerk ohne Inhalt verhindert, dass gelöschte Inhalte erneut aufgenommen werden. Nicht automatisch erfasst werden Gesprächsverläufe in Grove und in den Agenten, Inhalte, die bereits als Arbeitsgrundlage an KI-Dienste übermittelt wurden (dort gelten deren Fristen), ältere Sicherungen auf dem Mac mini und die Originale bei Google. Ältere Sicherungen werden derzeit nicht automatisch gelöscht.

Die Freigabe eines Google-Kontos lässt sich jederzeit im Google-Konto unter Drittanbieter-Apps und -Dienste widerrufen. Danach liest Grove nichts mehr aus diesem Konto.

Der Widerruf löscht keine Inhalte, die Grove bereits gespeichert hat. Dafür ist eine Löschanfrage nötig, siehe Aufbewahrung und Löschung.

Die Nutzung von Informationen aus Google-Schnittstellen und ihre Übertragung an andere Anwendungen entsprechen der Google API Services User Data Policy einschließlich der Anforderungen zur eingeschränkten Nutzung (Limited Use).
Grove’s use and transfer of information received from Google APIs to any other app will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

• Inhalte aus den verbundenen Google-Konten verarbeitet Grove mit Einwilligung des Kontoinhabers, die er durch die Freigabe im Google-Dialog erteilt (Art. 6 Abs. 1 lit. a DSGVO). Die Einwilligung lässt sich jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO), siehe Widerruf.
• Angaben anderer Personen in E-Mails, Terminen und Kontakten verarbeitet Grove auf Grundlage des berechtigten Interesses, die eigene Korrespondenz, Termine und Aufgaben zu organisieren (Art. 6 Abs. 1 lit. f DSGVO).
• Beim Aufruf dieser Seiten beruht die Verarbeitung auf dem berechtigten Interesse an einer sicheren Bereitstellung (Art. 6 Abs. 1 lit. f DSGVO).
• Die Grundlage für Übermittlungen außerhalb des EWR ist oben je Anbieter genannt.

Betroffene Personen haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen eine Verarbeitung auf Grundlage berechtigter Interessen (Art. 21). Anfragen gehen an hello@cloud.garden. Außerdem besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde (Art. 77).

Diese Seiten setzen keine Cookies, enthalten keine Analysewerkzeuge und keine Formulare und laden keine Inhalte von anderen Servern. Sie haben keine Verbindung zum Grove-Dienst.

Ausgeliefert werden sie über Cloudflare Workers. Beim Aufruf verarbeitet Cloudflare als Auftragsverarbeiter Verbindungsdaten wie IP-Adresse, Angaben zur Weiterleitung und Systemkonfiguration und weitere Angaben zum Datenverkehr. Die Protokollierung des Workers selbst ist ausgeschaltet. Eigene Protokolle oder Auswertungen führen wir für diese Seiten nicht.

Beleg: Cloudflare Privacy Policy, Abschnitt End Users

Ändert sich, wie Grove Google-Daten nutzt, wird diese Erklärung vorher angepasst. Für neue Zwecke holt Grove die Freigabe erneut ein.