docket.rocks
EN Workspace erstellen

Datenschutzerklärung

Wie wir personenbezogene Daten erheben, verwenden, speichern, offenlegen und schützen.

Stand: 6. November 2026

1. Einleitung

Diese Datenschutzerklärung erläutert, wie die Evernow GmbH (nachfolgend „wir“ oder „uns“) personenbezogene Daten erhebt, verwendet, speichert, offenlegt und schützt, wenn Sie unsere Website besuchen, ein Nutzerkonto anlegen, die docket-Plattform nutzen, mit uns kommunizieren oder unsere Dienste anderweitig nutzen.

docket ist eine cloudbasierte Plattform für das Agenturmanagement, die sich an professionelle Nutzer richtet, darunter Agenturen, Freelancer, Berater und andere Unternehmen. Die Plattform ermöglicht es, Projekte, Tickets, Kunden- und Kontaktdaten, Zeiterfassung, Angebote, Rechnungen, Datei-Uploads und Berichte zu verwalten und KI-Apps anzubinden, die Nutzer selbst verbinden.

Diese Datenschutzerklärung gilt für:

  • Besucher unserer Website;
  • Administratoren und Nutzer der docket-Plattform;
  • Kunden, Interessenten, Lieferanten und Geschäftskontakte;
  • Personen, deren personenbezogene Daten von unseren Kunden in docket eingegeben werden.

2. Verantwortlicher

Evernow GmbH
Dreieichstraße 59
60486 Frankfurt am Main
Deutschland

Handelsregister: AG Frankfurt am Main, HRB 54195
USt-IdNr.: DE220772379
E-Mail: info@docket.rocks

3. Datenschutzbeauftragter

Wir haben derzeit keinen Datenschutzbeauftragten benannt. Sollten wir rechtlich verpflichtet werden, einen zu benennen, werden wir diese Datenschutzerklärung entsprechend aktualisieren.

4. Rollen nach dem Datenschutzrecht

4.1 Wenn wir als Verantwortlicher handeln

Die Evernow GmbH handelt in der Regel als Verantwortlicher für personenbezogene Daten, die wir zu eigenen Zwecken verarbeiten, darunter:

  • Betrieb der Website;
  • Kontoregistrierung und -verwaltung;
  • Pflege der Kundenbeziehungen;
  • Abrechnung und Zahlungsverwaltung;
  • transaktionale Kommunikation;
  • Supportanfragen;
  • Sicherheitsüberwachung;
  • Verbesserung des Dienstes;
  • rechtliche und Compliance-Zwecke.

4.2 Wenn wir als Auftragsverarbeiter handeln

Für personenbezogene Daten, die Kunden im Rahmen ihrer eigenen Geschäftsabläufe in docket hochladen, eingeben, speichern oder anderweitig verarbeiten, handelt der Kunde in der Regel als Verantwortlicher und die Evernow GmbH als Auftragsverarbeiter.

Diese Verarbeitung richtet sich nach unserem Auftragsverarbeitungsvertrag (AVV), sofern nicht ein gesonderter schriftlicher Auftragsverarbeitungsvertrag geschlossen wurde.

5. Ausschließlich berufliche Nutzung

docket ist für die berufliche und gewerbliche Nutzung durch Unternehmen, Agenturen, Freelancer, Berater und ähnliche professionelle Nutzer bestimmt. Es ist nicht für die private Nutzung durch Verbraucher vorgesehen.

6. Kategorien personenbezogener Daten, die wir verarbeiten

Je nach Ihrer Interaktion mit uns und der Konfiguration der Plattform können wir die folgenden Kategorien personenbezogener Daten verarbeiten.

6.1 Konto- und Nutzerdaten

  • Name;
  • E-Mail-Adresse;
  • Passwort-Hash;
  • Nutzerrolle;
  • Zugehörigkeit zu einer Organisation oder einem Workspace;
  • Authentifizierungs- und Anmeldeprotokolle;
  • Kontoeinstellungen;
  • bei der Person, die einen Workspace registriert: Zeitpunkt, IP-Adresse und Version der bei der Registrierung akzeptierten AGB und Datenschutzerklärung.

6.2 Organisations- und Abrechnungsdaten

  • Firmen- oder Unternehmensname;
  • Geschäftsadresse;
  • Rechnungsadresse;
  • Umsatzsteuer- oder sonstige steuerliche Angaben;
  • Abonnementtarif;
  • Zahlungsstatus;
  • Rechnungs- und Abrechnungsunterlagen.

6.3 In docket eingegebene Kunden- und Kontaktdaten

Kunden können personenbezogene Daten ihrer eigenen Kunden, Interessenten, Lieferanten, freien Mitarbeiter und Subunternehmer, Beschäftigten oder sonstigen Kontakte eingeben, darunter:

  • Namen;
  • geschäftliche E-Mail-Adressen;
  • Telefonnummern;
  • Unternehmensangaben;
  • Adressen;
  • Notizen;
  • Kommunikationsverlauf;
  • projektbezogene Informationen.

6.4 Projekt-, Ticket-, Zeiterfassungs-, Angebots- und Rechnungsdaten

docket kann personenbezogene Daten verarbeiten, die enthalten sind in:

  • Projekten;
  • Tickets;
  • Ticketkommentaren;
  • internen Notizen;
  • Zeiteinträgen;
  • Arbeitsprotokollen;
  • Datensätzen zu Beschäftigten;
  • Angeboten;
  • Rechnungen;
  • Berichten;
  • Projektbudgets und Abrechnungsinformationen.

6.5 Hochgeladene Dateien

Nutzer können Dateien hochladen, etwa:

  • PDF-Dateien;
  • Rechnungen;
  • Verträge;
  • Tabellen;
  • Bilder;
  • Dokumente;
  • Anhänge zu Tickets oder Projekten;
  • sonstige geschäftsbezogene Dateien.

Hochgeladene Dateien können je nach Nutzung der Plattform durch den Kunden personenbezogene Daten oder vertrauliche Geschäftsinformationen enthalten.

6.6 Daten der transaktionalen Kommunikation

Wir können Daten verarbeiten, die für den Versand transaktionaler E-Mails erforderlich sind, darunter:

  • Kontoeinladungen;
  • E-Mails zum Zurücksetzen des Passworts;
  • Anmelde- oder Sicherheitshinweise;
  • Abrechnungsmitteilungen;
  • Rechnungen;
  • Abonnementmitteilungen;
  • Systembenachrichtigungen;
  • Benachrichtigungen zu Tickets oder Kommentaren;
  • administrative Benachrichtigungen an Administratoren;
  • Antworten eines Nutzers auf eine Benachrichtigungs-E-Mail, die docket als Kommentar übernimmt, wenn sie von der Adresse dieses Nutzers stammen.

6.7 Zahlungsdaten

Zahlungen werden von Stripe abgewickelt. Vollständige Kreditkartennummern speichern wir in der Regel nicht selbst. Stripe kann Zahlungsdetails, Abrechnungsinformationen, Angaben zu Karteninhabern, Transaktionsdaten und damit zusammenhängende Informationen zur Betrugsprävention verarbeiten.

6.8 Technische, Log- und Diagnosedaten

Wir können technische Daten verarbeiten, etwa:

  • IP-Adresse;
  • Browsertyp und -version;
  • Betriebssystem;
  • Geräteinformationen;
  • Zeitstempel;
  • Authentifizierungsprotokolle;
  • Anwendungsprotokolle;
  • Fehlerberichte;
  • Absturzberichte;
  • Diagnoseinformationen;
  • sicherheitsrelevante Ereignisse.

Unsere Server übermitteln ihre Protokolle, einschließlich der IP-Adressen eingehender Anfragen, sowie Performance-Daten und Fehlerberichte an unseren Monitoring-Anbieter AppSignal. Auch Fehler, die bei der Nutzung von docket in Ihrem Browser auftreten, werden an AppSignal gemeldet: die Fehlermeldung und technische Angaben zum Fehler, Browser und Betriebssystem, die Domain der Seite, nicht aber deren Pfad. Eine Nutzerkennung, Ihre E-Mail-Adresse oder Ihren Namen übermitteln wir nicht. AppSignal speichert diese Daten in der EU und löscht sie nach 30 Tagen.

Alle Anfragen an docket.rocks und an die docket-Anwendung laufen über das Netzwerk von Cloudflare, das sie verschlüsselt entgegennimmt, auf Angriffe prüft und an unsere Server weiterleitet. Dabei verarbeitet Cloudflare insbesondere Ihre IP-Adresse, die aufgerufene Adresse, Browserangaben und sicherheitsrelevante Ereignisse.

6.9 Besucherstatistiken der Website

Um zu verstehen, wie unsere öffentliche Website (docket.rocks, nicht jedoch die docket-Anwendung) genutzt wird, erfassen wir Seitenaufrufe auf unseren eigenen Servern: die besuchte Seite, die verweisende Website, im Link enthaltene Kampagnenparameter, Browser, Betriebssystem und Gerätetyp sowie eine gekürzte IP-Adresse (der letzte Teil wird entfernt). Hierfür verwenden wir weder Cookies noch Tracking-Skripte und führen diese Daten nicht mit anderen Informationen zusammen. Besuche werden anhand eines Werts gruppiert, der aus der gekürzten IP-Adresse und den Browserangaben abgeleitet wird und es uns nicht ermöglicht, Sie zu identifizieren. Wird ein Workspace registriert, versehen wir diesen einen Besuch zusätzlich mit der Kennung des neuen Workspaces, damit wir Registrierungen zählen können. Für diesen Besuch ist die Statistik daher so lange auf den Workspace beziehbar, wie dieser besteht; wird der Workspace gelöscht, entfernen wir die Kennung. Umgekehrt fließen keine Daten aus der Statistik in den Workspace oder in Ihr Nutzerkonto.

Nach 18 Monaten werden die gekürzte IP-Adresse, die Browserangaben, der abgeleitete Wert und die vollständige Adresse der verweisenden Seite entfernt. Übrig bleiben anonyme statistische Informationen.

Dabei wird auf Ihrem Endgerät nichts gespeichert und nichts ausgelesen; die Erfassung erfolgt ausschließlich aus der Anfrage, die Ihr Browser ohnehin an unseren Server sendet. Eine Einwilligung nach § 25 TDDDG ist daher nicht erforderlich.

6.10 Daten aus von Ihnen verbundenen Integrationen (Jira)

docket kann Daten mit Atlassian Jira Cloud und optional mit der Jira-App Tempo Timesheets austauschen. Dies geschieht nie automatisch. Es setzt eine manuelle Einrichtung voraus: Ein Administrator des Workspaces verbindet die Jira-Site des Unternehmens und verknüpft einzelne docket-Projekte mit Jira-Projekten, und jeder Nutzer, dessen Zeiten an Jira übermittelt werden sollen, verbindet sein eigenes Atlassian-Konto. Workspaces, die dies nicht einrichten, tauschen keine Daten mit Atlassian aus.

Nach der Einrichtung werden die folgenden Daten verarbeitet:

  • von Jira nach docket, für verknüpfte Projekte: Jira-Vorgänge (Schlüssel, Titel, Status, Priorität, Fälligkeitsdatum, Beschreibungstext, zugewiesene Person) und die dazu in Jira erfasste Zeit (Autor, Atlassian-Konto-ID und Name des Autors, Datum, Dauer, Kommentar);
  • von docket nach Jira: Zeiteinträge, die ein verbundener Nutzer auf einen Jira-Vorgang bucht (Datum, Dauer, Beschreibung), die unter dem Atlassian-Konto dieses Nutzers nach Jira geschrieben werden;
  • für jeden verbundenen Nutzer: seine Atlassian-Konto-ID und seinen Anzeigenamen, bei Verwendung eines API-Tokens die zugehörige E-Mail-Adresse sowie die Zugangsdaten (API-Token oder die auf der Zustimmungsseite von Atlassian erteilte Autorisierung), die verschlüsselt gespeichert werden;
  • für die Verbindung der Jira-Site: die vom Administrator hinterlegten Zugangsdaten (E-Mail-Adresse und API-Token des Jira-Kontos, mit dem Vorgänge gelesen werden, oder eine auf der Zustimmungsseite von Atlassian erteilte Autorisierung) sowie, sofern genutzt, ein Tempo-API-Token, die verschlüsselt gespeichert werden.

Um Daten von Atlassian-Konten zu löschen, die geschlossen wurden – wie es Atlassian von Apps verlangt, die solche Daten speichern –, senden wir regelmäßig die in docket gespeicherten Atlassian-Konto-IDs zusammen mit dem Zeitpunkt unserer letzten Aktualisierung an Atlassian. Atlassian teilt uns mit, welche Konten geschlossen oder geändert wurden. Die zugehörigen Daten löschen oder aktualisieren wir anschließend.

6.11 KI-Apps, die Sie verbinden (MCP)

Nutzer können KI-Apps wie Claude, ChatGPT, Cursor oder Claude Code über das Model Context Protocol (MCP) mit docket verbinden. Dies geschieht nie automatisch. Zunächst muss ein Administrator KI-Verbindungen für den Workspace zulassen; anschließend verbindet jeder Nutzer eine App selbst, indem er docket in der App hinzufügt, sich bei docket anmeldet und auf der Zustimmungsseite von docket bestätigt. Workspaces, die dies nicht zulassen, und Nutzer, die keine App verbinden, tauschen keine Daten mit einer KI-App aus.

Sobald ein Nutzer eine App verbunden hat:

  • liest die App auf Anfrage des Nutzers die Daten, die dieser in docket sehen kann – Projekte, Tickets, Kunden, Zeiteinträge und die Arbeitszeiten, mit denen diese verglichen werden, sowie, nur soweit die Rolle des Nutzers dies erlaubt, Budgets, die Auslastung von Kollegen, Angebote, Rechnungen und Umsatzangaben (bei Administratoren auch Zeiteinträge anderer Nutzer) –, und der Anbieter der App verarbeitet diese Daten;
  • kann die App die eigenen Zeiteinträge dieses Nutzers buchen, ändern und löschen sowie in seinem Namen Tickets anlegen, kommentieren, schließen, wieder öffnen und ihre Termine und Priorität ändern;
  • speichern wir die Registrierung der App (ihren Namen und ihre Callback-Adresse), die Zustimmung des Nutzers und Zugangsdaten für die App – ausschließlich als Hashwerte – sowie den Zeitpunkt der letzten Nutzung der Verbindung.

Der Nutzer kann eine App jederzeit in seinen Profileinstellungen trennen; auch eine Passwortänderung, das Ausscheiden des Nutzers aus dem Workspace oder das Abschalten der KI-Verbindungen durch einen Administrator beendet den Zugriff.

6.12 Schutz vor automatisierten Registrierungen

Um zu verhindern, dass Programme massenhaft Workspaces anlegen, löst Ihr Browser beim Absenden des Registrierungsformulars eine kleine Rechenaufgabe (Proof of Work, Bibliothek ALTCHA), die wir selbst ausliefern und prüfen. Dabei werden keine Daten an Dritte übermittelt, kein Cookie gesetzt und keine Angaben zu Ihrem Gerät erhoben. Wir prüfen außerdem, ob das Formular von einem Menschen ausgefüllt wurde (ein unsichtbares Feld bleibt leer, das Absenden dauert länger als wenige Sekunden). Die gelöste Aufgabe speichern wir kurzzeitig, damit sie nur einmal verwendet werden kann.

6.13 E-Rechnungsprüfung auf der Website

Auf docket.rocks/xrechnung-pruefen können Sie ohne Konto eine E-Rechnung (XML oder PDF) hochladen, um sie prüfen und anzeigen zu lassen. Die Datei kann personenbezogene Daten enthalten, etwa Namen, Anschriften, Kontaktdaten und Bankverbindungen von Verkäufer und Käufer. Wir lesen die Datei nur für die Prüfung in den Arbeitsspeicher und geben sie an unsere eigenen Prüfdienste (KoSIT-Validator und Mustang) weiter, die bei unserem Hosting-Anbieter Fly.io in Frankfurt am Main laufen. Danach wird sie verworfen: Wir speichern weder die Datei noch ihren Inhalt, und Inhalte der Rechnung erscheinen nicht in unseren Logs. Wie in Abschnitt 6.9 zählen wir ohne Cookies, dass eine Prüfung stattgefunden hat, mit ihrem Ergebnis und dem erkannten Format. Um Missbrauch zu verhindern, begrenzen wir die Zahl der Prüfungen pro IP-Adresse; die IP-Adresse halten wir dafür kurzzeitig im Arbeitsspeicher.

7. Zwecke und Rechtsgrundlagen der Verarbeitung

Wir verarbeiten personenbezogene Daten zu den nachstehend beschriebenen Zwecken und auf Grundlage der jeweils genannten Rechtsgrundlagen.

7.1 Betrieb der Website

Wir verarbeiten technische Daten, um die Website sicher und zuverlässig bereitzustellen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO – berechtigte Interessen am Betrieb einer sicheren und funktionsfähigen Website.

7.2 Kontoregistrierung und Zugang zur Plattform

Wir verarbeiten Konto- und Nutzerdaten, um Konten anzulegen, Nutzer zu authentifizieren, Workspaces zu verwalten, Rollen zuzuweisen und den Zugang zur Plattform bereitzustellen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO – Erfüllung eines Vertrags oder Durchführung vorvertraglicher Maßnahmen.

7.3 Bereitstellung der docket-Plattform

Wir verarbeiten Kundendaten und Betriebsdaten, um die Funktionen der Plattform bereitzustellen, darunter Projekte, Tickets, Zeiterfassung, Angebote, Rechnungen, Berichte, Dateispeicherung und Zusammenarbeitsfunktionen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung eines Vertrags), soweit wir als Verantwortlicher handeln; Art. 28 DSGVO und die dokumentierten Weisungen des Kunden, soweit wir als Auftragsverarbeiter handeln.

7.4 Abrechnung und Zahlungen

Wir verarbeiten Abrechnungs- und Abonnementdaten, um Abonnements zu verwalten, Zahlungen abzuwickeln, Rechnungen zu erstellen und den Zahlungsstatus zu verwalten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung eines Vertrags) und Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtungen, etwa steuer- und handelsrechtliche Aufbewahrung).

7.5 Transaktionale E-Mails

Wir verarbeiten Kontakt- und Kontodaten, um transaktionale E-Mails zu versenden, die für den Betrieb der Plattform und die Kontoverwaltung erforderlich sind.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung eines Vertrags) und Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen am Betrieb des Dienstes).

Werbe-E-Mails oder einen Newsletter versenden wir nicht. Sollten wir das einmal tun, holen wir vorher Ihre Einwilligung ein (Art. 6 Abs. 1 lit. a DSGVO).

7.6 Support

Wenn Sie uns für Supportzwecke kontaktieren, verarbeiten wir die von Ihnen übermittelten Informationen, um Ihre Anfrage zu bearbeiten und zu beantworten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung eines Vertrags) und Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen am Kundensupport).

7.7 Sicherheit sowie Betrugs- und Missbrauchsprävention

Wir verarbeiten technische Protokolle, Authentifizierungsprotokolle und Sicherheitsereignisse, um die Plattform zu schützen, Missbrauch zu erkennen, unbefugten Zugriff zu verhindern und die Integrität des Systems sicherzustellen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen an der Sicherheit der Plattform) und, soweit anwendbar, Art. 6 Abs. 1 lit. c DSGVO.

7.8 Einhaltung rechtlicher Vorgaben

Wir verarbeiten bestimmte Daten, um buchhalterischen, steuerlichen, handelsrechtlichen, aufsichtsrechtlichen und sonstigen rechtlichen Verpflichtungen nachzukommen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO – Erfüllung rechtlicher Verpflichtungen.

7.9 Produktverbesserung

Wir werten weder Nutzungs- noch Inhaltsdaten aus. Was wir sehen, ist die Anzahl der aktiven Nutzer je Workspace, da wir danach abrechnen (Abschnitt 7.4), sowie die in Abschnitt 6.8 beschriebenen technischen Fehler- und Leistungsdaten. Wir verwenden Kundendaten nicht zum Training von KI-Modellen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Abrechnung) und Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen an einem zuverlässigen Dienst).

7.10 Besucherstatistiken der Website

Wir verarbeiten die in Abschnitt 6.9 beschriebenen Besucherstatistiken der Website, um zu verstehen, wie unsere Website gefunden und genutzt wird, und um sie zu verbessern.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO – berechtigte Interessen an der Verbesserung unserer Website.

7.11 Jira-Integration

Wir verarbeiten die in Abschnitt 6.10 beschriebenen Daten, um die verknüpften Projekte und Zeiteinträge des Workspaces entsprechend der Konfiguration durch den Kunden mit dessen Jira-Site zu synchronisieren.

Beim Abgleich der Atlassian-Konto-IDs (Abschnitt 6.10) handeln wir als Verantwortlicher: Damit erfüllen wir unsere eigenen Pflichten als Anbieter einer Atlassian-App, nicht eine Weisung des Kunden.

Rechtsgrundlage: Art. 28 DSGVO und die dokumentierten Weisungen des Kunden, soweit wir als Auftragsverarbeiter handeln (der Kunde entscheidet, Jira zu verbinden); Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen) und die Anforderungen von Atlassian an Apps für die in Abschnitt 6.10 beschriebenen Prüfungen des Kontostatus, um die Daten aktuell zu halten und sie zu löschen, sobald ein Atlassian-Konto geschlossen wird.

7.12 KI-Apps, die Sie verbinden

Wir verarbeiten die in Abschnitt 6.11 beschriebenen Daten, um der von einem Nutzer verbundenen KI-App den Zugriff zu gewähren, den dieser erteilt hat.

Rechtsgrundlage: Art. 28 DSGVO und die dokumentierten Weisungen des Kunden, soweit wir als Auftragsverarbeiter handeln (der Kunde lässt KI-Verbindungen zu, der Nutzer verbindet eine App); Art. 6 Abs. 1 lit. b DSGVO (Erfüllung eines Vertrags) für die Verbindung selbst.

7.13 Monitoring und Fehlererfassung

Wir verarbeiten die in Abschnitt 6.8 beschriebenen Protokoll- und Fehlerdaten, um Fehler und Performance-Probleme auf unseren Servern und im Browser zu erkennen, zu analysieren und zu beheben.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO – berechtigte Interessen an einem funktionsfähigen und zuverlässigen Dienst.

7.14 Schutz vor automatisierten Registrierungen

Wir verarbeiten die in Abschnitt 6.12 beschriebenen Daten, um automatisierte Registrierungen abzuwehren.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO – berechtigte Interessen am Schutz unseres Dienstes vor Missbrauch.

7.15 E-Rechnungsprüfung auf der Website

Wir verarbeiten die in Abschnitt 6.13 beschriebenen Daten, um die von Ihnen angeforderte Prüfung durchzuführen und ihr Ergebnis anzuzeigen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO – berechtigte Interessen daran, die von Ihnen angestoßene Prüfung bereitzustellen und unseren Dienst vor Missbrauch zu schützen. Für personenbezogene Daten Dritter in der Rechnung sind Sie selbst dafür verantwortlich, dass Sie die Datei hochladen dürfen.

8. KI-Funktionen

Dieser Abschnitt betrifft die eigenen KI-Funktionen von docket. KI-Apps, die Nutzer selbst mit docket verbinden (zum Beispiel Claude oder ChatGPT), sind keine KI-Funktionen von docket; siehe hierzu Abschnitt 6.11.

8.1 Auslesen von Eingangsrechnungen

Lädt ein Nutzer bei den Fremdkosten die Rechnung eines Lieferanten hoch, prüft docket, ob die Datei eine E-Rechnung (ZUGFeRD, Factur-X, XRechnung) enthält, und übernimmt deren Angaben ins Formular. Das geschieht auf unseren eigenen Servern, ohne Dritte.

Enthält die Datei keine E-Rechnung, kann eine KI sie auslesen: Mistral AI oder der Anbieter, dessen API-Key der Workspace hinterlegt hat (siehe unten). Dies geschieht nie automatisch. Zunächst muss ein Administrator das Auslesen mit KI für den Workspace einschalten. Danach wird eine Rechnung nur übermittelt, wenn ein Nutzer sie mit „Read with AI“ auslesen lässt, oder, wenn der Administrator dies zusätzlich zulässt, bei jedem Upload einer Rechnung. Workspaces, die das Auslesen mit KI nicht einschalten, übermitteln keine Daten an einen KI-Anbieter.

  • Übermittelt wird die hochgeladene Rechnungsdatei mit allem, was sie enthält: üblicherweise Name und Anschrift von Lieferant und Rechnungsempfänger, Ansprechpartner, Rechnungspositionen und Beträge.
  • Zurück erhalten wir Lieferant, USt-IdNr., Rechnungsnummer, Rechnungsdatum, Beträge, Steuersatz und Währung. Sie werden ins Formular übernommen und erst gespeichert, wenn der Nutzer die Fremdkosten speichert.
  • Wir speichern dieses Ergebnis mit einer Prüfsumme der Datei, dem Nutzer, der das Auslesen ausgelöst hat, und dem Zeitpunkt, damit dieselbe Datei nicht erneut übermittelt wird und die das monatliche KI-Kontingent des Workspaces (auch die Abschnitte 8.2 und 8.3 zählen dazu) gezählt werden kann. Diese Einträge werden mit dem Workspace gelöscht.

Mistral AI verarbeitet die Datei als unser Unterauftragsverarbeiter in der EU, nach seinem Auftragsverarbeitungsvertrag und ohne sie zum Training von KI-Modellen zu verwenden. Mistral AI bewahrt Anfrage und Antwort danach bis zu 30 Tage auf, um Missbrauch zu erkennen, und löscht sie dann.

Eigener API-Key des Workspaces. Stattdessen kann ein Administrator einen eigenen API-Key des Workspaces bei Mistral AI, OpenAI oder Anthropic hinterlegen oder bei einem anderen Dienst mit OpenAI-kompatibler Schnittstelle, unter der Adresse, die er angibt. Die Rechnungsdatei geht dann an das eigene Konto des Workspaces bei diesem Anbieter, nach dem eigenen Vertrag des Kunden mit ihm. Dieser Anbieter ist nicht unser Unterauftragsverarbeiter: Der Kunde wählt ihn als Verantwortlicher und ist für die Rechtsgrundlage verantwortlich, einschließlich einer etwaigen Übermittlung in ein Drittland (OpenAI und Anthropic haben ihren Sitz in den USA). Wir speichern den Key verschlüsselt, verwenden ihn nur zum Auslesen von Rechnungen wie oben beschrieben und löschen ihn, sobald der Administrator ihn entfernt oder der Workspace gelöscht wird. Auslesen mit dem eigenen Key zählt nicht zum Kontingent.

Rechtsgrundlage: Art. 28 DSGVO und die dokumentierten Weisungen des Kunden (ein Administrator schaltet das Auslesen mit KI ein, ein Nutzer lässt eine Rechnung auslesen).

8.2 Zeiterfassung mit KI

Ein Administrator kann für den Workspace außerdem die Zeiterfassung mit KI einschalten. Bis dahin ist sie aus, und ein Workspace, der sie nicht einschaltet, übermittelt dafür nichts an einen KI-Anbieter. Ist sie eingeschaltet, kann ein Nutzer zweierlei tun, jeweils nur auf eigene Anforderung:

  • In eigenen Worten aufschreiben, woran er gearbeitet hat, und sich Zeiteinträge vorschlagen lassen. Übermittelt werden die Notiz, wie sie geschrieben ist, das heutige Datum und der Tag, um den es geht, sowie eine Liste der eigenen Tickets des Nutzers (Kunde, Projekt und Tickettitel), auf die er in den letzten 90 Tagen gebucht hat, denen er zugewiesen ist oder in denen er in dieser Woche gearbeitet hat, mit dem Text seiner eigenen Kommentare darin aus dieser Woche, zusammen mit den Leistungen des Workspaces. Fragt die Notiz, was er noch nicht gebucht hat, wird für die Tickets, in denen er in der Zeit gearbeitet hat, übermittelt, was er dort getan hat (angelegt, geschlossen, geänderte Felder, eigene Kommentare).
  • Die Beschreibung eines Zeiteintrags schreiben lassen, aus dem, was er an dem Tag im Ticket getan hat. Übermittelt werden der Titel von Ticket und Projekt, welche Felder des Tickets der Nutzer an dem Tag geändert hat, und der Text seiner eigenen Kommentare im Ticket an dem Tag. Hat er an dem Tag im Ticket nichts getan, wird nichts übermittelt.

Zurück kommen Vorschläge: Ticket, Leistung, Dauer, Tag und Beschreibung. Gebucht wird erst, wenn der Nutzer bucht. Wir speichern weder die Notiz noch die Antwort, nur dass eine Anfrage gestellt wurde, von welchem Nutzer und wann, und wie viele Tokens der Anbieter dafür gezählt hat, um das monatliche KI-Kontingent des Workspaces (zusammen mit den Abschnitten 8.1 und 8.3) zu zählen und die Kosten zu kennen. Diese Einträge werden mit dem Workspace gelöscht.

Die Anfragen gehen an denselben Anbieter wie in Abschnitt 8.1, zu denselben Bedingungen: an Mistral AI als unseren Unterauftragsverarbeiter in der EU oder an den Anbieter, dessen API-Key der Workspace hinterlegt hat, als eigene Wahl des Kunden und nach dessen eigenem Vertrag; Anfragen mit dem eigenen Key zählen nicht zur Obergrenze.

Rechtsgrundlage: Art. 28 DSGVO und die dokumentierten Weisungen des Kunden (ein Administrator schaltet die Zeiterfassung mit KI ein, ein Nutzer fordert Vorschläge oder eine Beschreibung an).

8.3 Angebote und Rechnungen mit KI

Ein Administrator kann außerdem das Schreiben von Angeboten und Rechnungen mit KI einschalten. Bis dahin ist es aus, und ein Workspace, der es nicht einschaltet, übermittelt dafür nichts an einen KI-Anbieter. Ist es eingeschaltet, kann ein Projektmanager oder Administrator bei einem Entwurf, nur auf eigene Anforderung, beschreiben, was das Dokument bekommen soll, oder eine Tabelle dazulegen (eine Stundenliste als XLSX oder CSV). Übermittelt werden, was er schreibt, seine früheren Nachrichten in diesem Gespräch, der Name des Dokuments, der Titel seines Projekts und die Titel seiner Phasen und Positionen, die Leistungen des Workspaces (Titel und Kategorien, keine Sätze), die Regeln, die ein Administrator dafür hinterlegt hat, und von einer Tabelle ihre Spaltenüberschriften, die Werte von Spalten mit wenigen verschiedenen Werten und ihre ersten acht Zeilen. Die ganze Tabelle wird nicht übermittelt: docket liest und summiert ihre Zeilen selbst.

Zurück kommen Rückfragen oder ein Vorschlag: Phasen, Positionen, Leistungen und Mengen. Es ändert sich nichts, bis der Nutzer ihn übernimmt. Dann hält ein Kommentar am Dokument fest, was hinzugefügt wurde, und hängt die verwendete Tabelle an, die damit aufbewahrt wird; eine Tabelle, die nicht verwendet wird, wird nach 30 Tagen gelöscht. Anfragen werden wie in Abschnitt 8.2 erfasst, zählen zur selben Obergrenze und gehen an denselben Anbieter, zu denselben Bedingungen.

Rechtsgrundlage: Art. 28 DSGVO und die dokumentierten Weisungen des Kunden (ein Administrator schaltet das Schreiben von Dokumenten mit KI ein, ein Nutzer fordert einen Vorschlag an und übernimmt ihn).

8.4 Allgemeines

Kundendaten werden von der Evernow GmbH nicht zum Training von KI-Modellen verwendet.

Kunden sollten keine besonderen Kategorien personenbezogener Daten an die Plattform übermitteln, es sei denn, sie verfügen hierfür über eine Rechtsgrundlage und geeignete Garantien.

9. Cookies und ähnliche Technologien

Auf unserer öffentlichen Website (docket.rocks) setzen wir keine Cookies. Nur das Registrierungsformular setzt ein Sitzungs-Cookie, das das Formular gegen Missbrauch absichert und mit dem Schließen des Browsers verfällt.

In der docket-Anwendung verwenden wir ausschließlich technisch notwendige Cookies und vergleichbare Technologien:

  • ein Sitzungs-Cookie für die Anmeldung und die Absicherung von Formularen, das mit dem Schließen des Browsers verfällt;
  • ein Cookie mit dem Zugriffstoken der Anwendung (docket_api_token), nur für den Browser lesbar, gültig bis zur Abmeldung oder höchstens 24 Stunden;
  • ein Cookie „Angemeldet bleiben“ (remember_user_token), nur wenn Sie diese Option beim Anmelden wählen, gültig 14 Tage;
  • ein Cookie mit Ihrer Sprachwahl für die Anmeldeseiten (docket_locale);
  • den lokalen Speicher des Browsers für Oberflächeneinstellungen, noch nicht abgeschickte Kommentarentwürfe und den Navigationszustand; diese Daten verlassen Ihren Browser nicht.

Rechtsgrundlage für diese Cookies ist § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich, um den von Ihnen gewünschten Dienst bereitzustellen) in Verbindung mit Art. 6 Abs. 1 lit. b DSGVO. Ein Cookie-Banner ist deshalb nicht erforderlich.

Wir verwenden keine Werbe-, Marketing- oder Analyse-Cookies und keine Tracking-Pixel. Sollten wir künftig nicht notwendige Cookies einsetzen, aktualisieren wir diese Datenschutzerklärung und holen vorher Ihre Einwilligung ein.

10. Empfänger und Dienstleister

Wir setzen sorgfältig ausgewählte Dienstleister für den Betrieb von docket ein. Diese Dienstleister können je nach ihrer Rolle personenbezogene Daten in unserem Auftrag oder als eigenständige Verantwortliche verarbeiten.

Derzeit setzen wir unter anderem folgende Dienstleister ein:

  • Fly.io für das Hosting der Anwendung, die Infrastruktur und die Datenbank (Fly.io Managed Postgres in Frankfurt, einschließlich der Backups);
  • Amazon Web Services S3 für die Speicherung von Dateien und Anhängen;
  • Redis Cloud (Redis EMEA Ltd., Speicherung in Frankfurt) für die Warteschlange für Hintergrundaufgaben, Echtzeit-Aktualisierungen, Caching und Ratenbegrenzung;
  • Stripe für die Zahlungsabwicklung und Abrechnung;
  • Postmark für den Versand transaktionaler E-Mails und den Empfang von Antworten auf Benachrichtigungs-E-Mails;
  • AppSignal für Monitoring, Server-Protokolle (einschließlich IP-Adressen) und Fehlererfassung auf dem Server und im Browser;
  • Cloudflare für die Domainverwaltung sowie die Weiterleitung und den Schutz aller Anfragen an docket.rocks und die Anwendung;
  • Mistral AI (Paris, Frankreich) für das Auslesen von Eingangsrechnungen ohne E-Rechnung und für die Zeiterfassung mit KI, nur in Workspaces, die dies eingeschaltet haben (Abschnitte 8.1 und 8.2).

Eine aktuelle Unterauftragsverarbeiter-Liste wird unter docket.rocks/unterauftragsverarbeiter geführt.

Vom Kunden verbundene Integrationen. Hat ein Workspace die Jira-Integration eingerichtet (Abschnitt 6.10), sendet docket die dort beschriebenen Daten an Atlassian (und, sofern der Workspace Tempo nutzt, an Tempo) und empfängt Daten von diesen. Dabei handelt es sich um eigene Dienste des Kunden, die auf Grundlage der eigenen Vereinbarungen des Kunden mit Atlassian und Tempo genutzt werden; sie sind keine Dienstleister der Evernow GmbH. Ohne diese manuelle Einrichtung werden keine Daten an sie gesendet.

Entsprechendes gilt für KI-Apps, die Nutzer verbinden (Abschnitt 6.11): Die Daten, die die App aus docket abruft, werden auf Grundlage der Vereinbarung des Nutzers oder des Kunden mit dem jeweiligen Anbieter an diesen übermittelt (zum Beispiel an Anthropic für Claude oder an OpenAI für ChatGPT). Diese Anbieter sind keine Dienstleister der Evernow GmbH, und es werden keine Daten an sie gesendet, sofern nicht ein Nutzer die App verbunden hat.

Inhalte von anderen Servern. Zeigt die Anwendung Inhalte an, die ein Nutzer von außerhalb eingebunden hat – Bilder in Beschreibungen und Kommentaren oder die Vorschaubilder eines vom Workspace gewählten RSS-Feeds auf dem Dashboard –, lädt Ihr Browser diese direkt vom jeweiligen Server, der dabei Ihre IP-Adresse erhält. Ob und welche Inhalte eingebunden werden, bestimmt der Kunde.

11. Internationale Datenübermittlungen

Einige Dienstleister können personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten, auch in den Vereinigten Staaten oder in anderen Ländern, die möglicherweise nicht das gleiche Datenschutzniveau wie die Europäische Union bieten.

Soweit erforderlich, stützen wir uns auf geeignete Garantien, wie zum Beispiel:

  • Angemessenheitsbeschlüsse;
  • das EU-U.S. Data Privacy Framework, soweit anwendbar;
  • Standardvertragsklauseln;
  • Auftragsverarbeitungsverträge;
  • ergänzende Garantien, soweit angemessen.

Verbindet ein Kunde Jira, hängt es von den eigenen Vereinbarungen und Einstellungen des Kunden mit Atlassian und Tempo ab, wo diese die Daten verarbeiten (zum Beispiel von der Datenresidenz bei Atlassian). Entsprechendes gilt für die Anbieter von KI-Apps, die Nutzer verbinden (Abschnitt 6.11).

12. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie dies für die in dieser Datenschutzerklärung beschriebenen Zwecke erforderlich ist.

Typische Kriterien für die Speicherdauer sind:

  • Kontodaten werden für die Dauer der Kundenbeziehung gespeichert;
  • ein Workspace, dessen Registrierung nie per E-Mail bestätigt wurde, wird 14 Tage nach der Registrierung gelöscht;
  • Antworten auf Benachrichtigungs-E-Mails werden nach ihrer Verarbeitung 30 Tage im Originalzustand aufbewahrt und dann gelöscht; die Antwortadresse in einer Benachrichtigungs-E-Mail funktioniert nach 90 Tagen nicht mehr;
  • Kundendaten werden gespeichert, solange der Workspace des Kunden aktiv ist;
  • Administratoren können jederzeit einen vollständigen Export des Workspaces herunterladen; endet das Abonnement, können sich die Administratoren des Workspaces noch 30 Tage lang anmelden, ausschließlich um diesen Export herunterzuladen, und erhalten vor der Löschung des Workspaces eine Erinnerung per E-Mail;
  • 30 Tage nach Ende des Abonnements werden der Workspace und alle darin enthaltenen Kundendaten vollständig gelöscht;
  • Backups der Datenbank werden 10 Tage aufbewahrt; gelöschte Daten sind daher spätestens 10 Tage nach ihrer Löschung auch aus den Backups entfernt;
  • Abrechnungs-, Buchhaltungs- und Steuerunterlagen werden entsprechend den gesetzlichen Aufbewahrungspflichten aufbewahrt;
  • Protokolle und Diagnosedaten werden nur so lange gespeichert, wie es für Sicherheit, Fehlerbehebung und Zuverlässigkeit erforderlich ist; unser Monitoring-Anbieter AppSignal löscht Server-Protokolle und Fehlerberichte nach 30 Tagen;
  • die Jira-Verbindungsdaten eines Nutzers werden gelöscht, wenn dieser Jira trennt; Daten von Atlassian-Konten, die als geschlossen gemeldet wurden, werden innerhalb der von Atlassian vorgegebenen Frist gelöscht oder anonymisiert;
  • die Zugangsdaten einer KI-App verlieren ihre Gültigkeit, wenn der Nutzer die App trennt, sein Passwort ändert oder den Workspace verlässt;
  • Zeitpunkt und IP-Adresse der letzten beiden Anmeldungen werden im Nutzerkonto gespeichert, bis das Konto oder der Workspace gelöscht wird;
  • der Änderungsverlauf an Tarifen von Kunden, Projekten und Leistungen wird mit dem Workspace gespeichert und mit ihm gelöscht;
  • Exportdateien eines Workspaces werden 7 Tage nach ihrer Erstellung gelöscht;
  • Supportanfragen per E-Mail löschen wir, sobald Ihr Anliegen erledigt ist, spätestens nach drei Jahren, soweit keine gesetzliche Aufbewahrungspflicht besteht;
  • Besucherstatistiken der Website werden nach 18 Monaten anonymisiert, indem die gekürzte IP-Adresse, die Browserangaben, der abgeleitete Besucherwert und die vollständige Adresse der verweisenden Seite entfernt werden; die verbleibenden anonymen Statistiken werden weiter aufbewahrt.

13. Rechte betroffener Personen

Nach Maßgabe des anwendbaren Rechts können betroffene Personen das Recht haben,

  • Auskunft über ihre personenbezogenen Daten zu verlangen;
  • die Berichtigung unrichtiger personenbezogener Daten zu verlangen;
  • die Löschung personenbezogener Daten zu verlangen;
  • die Einschränkung der Verarbeitung zu verlangen;
  • der Verarbeitung zu widersprechen;
  • personenbezogene Daten in einem übertragbaren Format zu erhalten;
  • eine Einwilligung zu widerrufen, sofern die Verarbeitung auf einer Einwilligung beruht;
  • Beschwerde bei einer Aufsichtsbehörde einzulegen.

Anfragen können an info@docket.rocks gerichtet werden. Wir beantworten sie innerhalb eines Monats (Art. 12 Abs. 3 DSGVO); bei besonders komplexen oder zahlreichen Anfragen kann sich diese Frist um bis zu zwei Monate verlängern, worüber wir Sie innerhalb des ersten Monats informieren.

Betrifft die Anfrage personenbezogene Daten, die in einem Kunden-Workspace verarbeitet werden, können wir die Anfrage an den betreffenden Kunden weiterleiten, da dieser Verantwortlicher für diese Daten sein kann.

Widerspruchsrecht: Soweit wir personenbezogene Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, können Sie dieser Verarbeitung aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO). Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Unbeschadet anderer Rechtsbehelfe haben Sie das Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Die für uns zuständige Aufsichtsbehörde ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Gustav-Stresemann-Ring 1, 65189 Wiesbaden, datenschutz.hessen.de.

Eine automatisierte Entscheidungsfindung einschließlich Profiling (Art. 22 DSGVO) findet nicht statt.

14. Sicherheit

Wir treffen geeignete technische und organisatorische Maßnahmen (Art. 32 DSGVO), um personenbezogene Daten vor unbefugtem Zugriff, Verlust, Missbrauch, Veränderung oder Offenlegung zu schützen.

Zu den Maßnahmen können gehören:

  • Verschlüsselung bei der Übertragung;
  • Zugriffskontrollen;
  • Authentifizierungsmechanismen;
  • rollenbasierte Berechtigungen;
  • logische Mandantentrennung;
  • Monitoring und Fehlererfassung;
  • Backup-Verfahren;
  • Beschränkungen des internen Zugriffs;
  • Vertraulichkeitsverpflichtungen.

Kein System kann vollständig sicher sein. Kunden sind dafür verantwortlich, ihre Zugangsdaten sicher aufzubewahren, die Zugriffsrechte ihrer Nutzer angemessen zu konfigurieren und sicherzustellen, dass ihre Nutzer Daten rechtmäßig verarbeiten.

15. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich unsere Verarbeitung oder die Rechtslage ändert. Wesentliche Änderungen können per E-Mail, durch einen Hinweis in der Anwendung oder durch Veröffentlichung auf unserer Website mitgeteilt werden.