Auftragsverarbeitungsvertrag (AVV)

Stand: 21. Oktober 2026

Dieser Auftragsverarbeitungsvertrag („AVV“) ist Bestandteil der Vereinbarung zwischen dem Kunden („Verantwortlicher“ oder „Kunde“) und der Evernow GmbH („Auftragsverarbeiter“) über die Nutzung von docket.

Der AVV wird mit der Annahme der AGB bei der Registrierung des Workspaces geschlossen; einer gesonderten Unterzeichnung bedarf es nicht. Auf Wunsch stellen wir ihn als PDF oder in von uns unterzeichneter Fassung zur Verfügung ([email protected]). Er gilt für die Dauer des Vertrags über die Nutzung von docket und darüber hinaus, solange wir Kundendaten verarbeiten.

1. Gegenstand und Anwendungsbereich

Dieser AVV findet Anwendung, soweit die Evernow GmbH im Zusammenhang mit der Plattform docket personenbezogene Daten im Auftrag des Kunden verarbeitet.

Dieser AVV regelt die Rechte und Pflichten der Parteien bei der Auftragsverarbeitung nach Art. 28 DSGVO.

2. Begriffsbestimmungen

Begriffe wie „personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“, „Verletzung des Schutzes personenbezogener Daten“ und „Aufsichtsbehörde“ haben die Bedeutung nach Art. 4 DSGVO.

Personenbezogene Kundendaten („Kundendaten“) sind personenbezogene Daten, die die Evernow GmbH im Auftrag des Kunden über die Plattform docket verarbeitet.

3. Rollen der Parteien

Der Kunde handelt als Verantwortlicher für die Kundendaten.

Die Evernow GmbH handelt als Auftragsverarbeiter für die Kundendaten.

Für die Kontoverwaltung, die Abrechnung, den Support, die Sicherheit und ihren eigenen Geschäftsbetrieb kann die Evernow GmbH als Verantwortlicher handeln, wie in der Datenschutzerklärung beschrieben.

Der Kunde ist dafür verantwortlich, dass die Verarbeitung der Kundendaten in docket rechtmäßig ist – insbesondere, dass eine Rechtsgrundlage besteht und die betroffenen Personen, auch seine Beschäftigten, deren Zeiteinträge in docket erfasst und je Projekt und Ticket ausgewertet werden, nach Art. 13 und 14 DSGVO informiert sind. Er konfiguriert die Rollen und Berechtigungen seiner Nutzer und prüft, ob docket für seine Verarbeitungstätigkeiten geeignet ist.

Weisungen an den Auftragsverarbeiter erteilen die Administratoren des Kunden; Mitteilungen des Auftragsverarbeiters nach diesem AVV gehen an deren E-Mail-Adressen.

4. Gegenstand der Verarbeitung

Gegenstand der Verarbeitung ist die Bereitstellung der SaaS-Plattform docket, einschließlich Projektverwaltung, Ticketverwaltung, Zeiterfassung, Kontaktverwaltung, Angeboten, Rechnungen, Berichten, Dateispeicherung, Zusammenarbeit, transaktionalen E-Mails, Monitoring sowie der Integrationen und KI-App-Verbindungen, die der Kunde einrichtet.

5. Dauer der Verarbeitung

Die Verarbeitung erfolgt für die Dauer des Kundenverhältnisses sowie für einen etwaigen Zeitraum nach Vertragsende, in dem Daten für den Export, in Backups, zur Einhaltung gesetzlicher Pflichten oder zur Streitbeilegung aufbewahrt werden.

6. Art und Zweck der Verarbeitung

Die Verarbeitung kann Folgendes umfassen:

• Hosting;
• Speicherung;
• Abfragen;
• Übermittlung;
• Ordnen;
• Strukturierung;
• Anzeige;
• Veränderung;
• Löschung;
• Backups;
• Support-Zugriff, soweit erforderlich;
• Monitoring und Fehleranalyse.

Zweck ist die Bereitstellung, Wartung und Absicherung der Plattform docket sowie die Erbringung von Supportleistungen entsprechend den Weisungen des Kunden.

7. Kategorien betroffener Personen

Die Kundendaten können sich beziehen auf:

• Beschäftigte des Kunden;
• freie Mitarbeiter und Subunternehmer des Kunden;
• Freelancer;
• Kundenkontakte;
• Interessenten;
• Lieferanten;
• Dienstleister;
• Geschäftspartner;
• sonstige Personen, deren Daten vom Kunden oder von Nutzern in docket eingegeben werden.

8. Kategorien personenbezogener Daten

Die Kundendaten können Folgendes umfassen:

• Namen;
• E-Mail-Adressen;
• Telefonnummern;
• Geschäftsadressen;
• Unternehmenszugehörigkeiten;
• Rollen und Funktionsbezeichnungen;
• Projektinformationen;
• Ticketinhalte;
• Kommentare und Notizen;
• Zeiteinträge;
• Arbeitsprotokolle;
• Abrechnungs- und Rechnungsinformationen;
• Angebotsinformationen;
• hochgeladene Dokumente und Anhänge;
• Kommunikationsaufzeichnungen;
• Metadaten und technische Kennungen.

9. Besondere Kategorien personenbezogener Daten

docket ist nicht für die gezielte Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) ausgelegt. Da die Plattform jedoch Freitextfelder und Datei-Uploads enthält, kann der Kunde solche Daten technisch übermitteln.

Der Kunde ist allein dafür verantwortlich, dass jede Verarbeitung besonderer Kategorien personenbezogener Daten rechtmäßig ist und geeigneten Garantien unterliegt.

10. Weisungen des Kunden

Der Auftragsverarbeiter verarbeitet die Kundendaten nur auf dokumentierte Weisung des Kunden, auch in Bezug auf die Übermittlung in Drittländer, es sei denn, er ist nach anwendbarem Recht zur Verarbeitung verpflichtet.

Zu den Weisungen des Kunden gehören:

• die AGB;
• dieser AVV;
• die in der Plattform gewählten Einstellungen und Konfigurationen;
• Handlungen der Nutzer innerhalb der Plattform;
• Integrationen mit Diensten Dritter, die der Kunde in der Plattform einrichtet, wie etwa Atlassian Jira, einschließlich der Übermittlungen von Kundendaten an diese Dienste und von diesen Diensten, die die Integration vornimmt;
• KI-Apps (zum Beispiel Claude oder ChatGPT), die der Kunde zulässt und die seine Nutzer über das Model Context Protocol mit der Plattform verbinden, einschließlich der Daten, die diese Apps lesen, und der Zeiteinträge, die sie im Namen eines Nutzers schreiben;
• vom Auftragsverarbeiter akzeptierte schriftliche Weisungen.

Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen anwendbares Datenschutzrecht verstößt, informiert er den Kunden, sofern dies nicht gesetzlich untersagt ist.

11. Vertraulichkeit

Der Auftragsverarbeiter stellt sicher, dass die zur Verarbeitung der Kundendaten befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

12. Sicherheitsmaßnahmen

Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie des Risikos für die betroffenen Personen ein angemessenes Schutzniveau gewährleisten.

Die bei Vertragsschluss getroffenen Maßnahmen sind in Anlage 3 beschrieben. Der Auftragsverarbeiter überprüft sie regelmäßig und entwickelt sie weiter; das Schutzniveau der in Anlage 3 beschriebenen Maßnahmen darf dabei nicht unterschritten werden. Wesentliche Änderungen teilt er dem Kunden auf Anfrage mit. Nachweise Dritter – etwa Berichte über Penetrationstests oder Zertifikate – ergänzen diese Anlage als Dokumentation, ersetzen sie aber nicht; die Anlage selbst wird gegenüber dem Kunden nur nach Abschnitt 32 der AGB geändert.

13. Unterauftragsverarbeiter

Der Kunde erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern für die Erbringung des Dienstes.

Der Auftragsverarbeiter führt eine aktuelle Liste der Unterauftragsverarbeiter, einschließlich ihres Verarbeitungszwecks und des allgemeinen Verarbeitungsorts.

Der Auftragsverarbeiter erlegt den Unterauftragsverarbeitern durch Vertrag dieselben Datenschutzpflichten auf, die in diesem AVV festgelegt sind (Art. 28 Abs. 4 DSGVO), insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen.

Der Auftragsverarbeiter bleibt für die Erfüllung der Pflichten der Unterauftragsverarbeiter nach Maßgabe des anwendbaren Datenschutzrechts verantwortlich.

Dienste Dritter, die der Kunde selbst mit docket verbindet, wie etwa Atlassian Jira, Tempo Timesheets oder über das Model Context Protocol verbundene KI-Apps (zum Beispiel Claude oder ChatGPT), sind keine Unterauftragsverarbeiter des Auftragsverarbeiters. Der Kunde wählt sie aus, nutzt sie im Rahmen seiner eigenen Verträge mit deren Anbietern, und der Datenaustausch mit ihnen erfolgt auf Weisung des Kunden (Abschnitt 10). Solche Integrationen sind niemals standardmäßig aktiv: Sie erfordern die manuelle Einrichtung durch den Administrator des Kunden und – für die Übermittlung der Zeiteinträge eines Nutzers oder die Verbindung einer KI-App – durch den jeweiligen Nutzer.

Davon zu unterscheiden ist der Abgleich der in docket gespeicherten Atlassian-Konto-IDs mit Atlassian, mit dem die Evernow GmbH ihre eigenen Pflichten als Anbieterin einer Atlassian-App erfüllt: Hierbei handelt sie als Verantwortliche (Datenschutzerklärung, Abschnitt 7.11); diese Verarbeitung ist nicht Gegenstand dieses AVV.

14. Änderungen bei Unterauftragsverarbeitern

Die allgemeine Genehmigung nach Abschnitt 13 umfasst die in Anlage 2 genannten Unterauftragsverarbeiter. Beabsichtigt der Auftragsverarbeiter, einen weiteren Unterauftragsverarbeiter einzusetzen oder einen bestehenden zu ersetzen, teilt er dies dem Kunden per E-Mail an die Administratoren des Kunden mit und aktualisiert die Liste auf der Website. Die Mitteilung nennt den Unterauftragsverarbeiter, den Zweck und den Ort der Verarbeitung sowie die Garantie für etwaige Drittlandübermittlungen.

Die Mitteilung erfolgt mindestens 30 Tage, bevor der neue Unterauftragsverarbeiter Kundendaten verarbeitet. Ist das ausnahmsweise nicht möglich – etwa weil ein Unterauftragsverarbeiter kurzfristig ausfällt –, erfolgt sie unverzüglich, und der Kunde kann dann innerhalb von 30 Tagen nach Zugang widersprechen.

Der Kunde kann dem Einsatz innerhalb dieser Frist in Textform widersprechen; er soll den Widerspruch begründen. Widerspricht der Kunde nicht innerhalb der Frist, gilt der neue Unterauftragsverarbeiter als genehmigt; hierauf weist der Auftragsverarbeiter in der Mitteilung hin.

Widerspricht der Kunde, bemühen sich die Parteien nach Treu und Glauben um eine Lösung, etwa den Verzicht auf den Unterauftragsverarbeiter für die Daten des Kunden. Gelingt das nicht, kann der Kunde den Vertrag kündigen, bevor der neue Unterauftragsverarbeiter für seine Kundendaten eingesetzt wird; bereits gezahlte Entgelte für die Zeit nach der Kündigung erstatten wir.

15. Unterstützung bei Anträgen betroffener Personen

Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragsverarbeiter den Kunden in angemessenem Umfang bei der Beantwortung von Anträgen betroffener Personen, die ihre Rechte nach anwendbarem Datenschutzrecht ausüben.

Erhält der Auftragsverarbeiter einen Antrag einer betroffenen Person, der sich auf Kundendaten bezieht, unmittelbar, kann er die betroffene Person an den Kunden verweisen, sofern er nicht gesetzlich zur Antwort verpflichtet ist.

16. Unterstützung bei Sicherheit, Datenschutz-Folgenabschätzungen und Konsultation

Unter Berücksichtigung der Art der Verarbeitung und der dem Auftragsverarbeiter zur Verfügung stehenden Informationen unterstützt der Auftragsverarbeiter den Kunden in angemessenem Umfang bei:

• Sicherheitspflichten;
• Meldungen von Verletzungen des Schutzes personenbezogener Daten;
• Datenschutz-Folgenabschätzungen;
• vorheriger Konsultation der Aufsichtsbehörden;
• Informationen, die zum Nachweis der Einhaltung der Pflichten in angemessenem Umfang erforderlich sind.

17. Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter benachrichtigt den Kunden unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten, die Kundendaten betrifft, bekannt geworden ist – per E-Mail an die Administratoren des Kunden, so rechtzeitig, dass dieser seine eigene Meldefrist nach Art. 33 DSGVO einhalten kann. Liegen noch nicht alle Informationen vor, reicht er sie ohne unangemessene Verzögerung nach, sobald sie verfügbar sind.

Die Benachrichtigung enthält die dem Auftragsverarbeiter in angemessener Weise verfügbaren Informationen, die Folgendes umfassen können:

• Art der Verletzung;
• betroffene Datenkategorien;
• betroffene Personen, soweit bekannt;
• wahrscheinliche Folgen;
• ergriffene oder vorgeschlagene Maßnahmen zur Behebung der Verletzung.

Die Benachrichtigung durch den Auftragsverarbeiter stellt kein Anerkenntnis eines Verschuldens oder einer Haftung dar.

18. Rückgabe und Löschung

Die Administratoren des Kunden können jederzeit einen vollständigen Export der Kundendaten herunterladen (Abschnitt 20 der AGB). Endet das Abonnement, können sie sich noch 30 Tage lang anmelden, ausschließlich um diesen Export herunterzuladen, und erhalten vor der Löschung eine Erinnerung per E-Mail.

30 Tage nach Ende des Abonnements löscht der Auftragsverarbeiter den Workspace mit allen darin enthaltenen Kundendaten vollständig, es sei denn, eine Aufbewahrung ist gesetzlich vorgeschrieben.

Der Kunde ist dafür verantwortlich, die Kundendaten vor Ablauf dieser 30 Tage zu exportieren.

Backups werden 10 Tage aufbewahrt; gelöschte Kundendaten sind daher spätestens 10 Tage nach der Löschung auch aus den Backups entfernt.

Mit Ende des Abonnements endet die Erbringung der Verarbeitungsleistungen. Die folgenden 30 Tage sind eine Übergangsphase, in der der Auftragsverarbeiter die Kundendaten nur noch für den Export und die Löschung verarbeitet; eine andere Nutzung findet nicht statt.

Der Kunde trifft seine Wahl nach Art. 28 Abs. 3 lit. g DSGVO mit Abschluss dieses AVV: Rückgabe durch den Export, den seine Administratoren selbst herunterladen (CSV, JSON, PDF und die hochgeladenen Dateien in einer ZIP-Datei), und Löschung nach Ablauf der 30 Tage. Er kann diese Wahl jederzeit in Textform ändern, insbesondere die Löschung schon vor Ablauf der 30 Tage verlangen; eine Herausgabe in anderer Form als dem Export ist nicht geschuldet.

Der Auftragsverarbeiter protokolliert die Löschung (Zeitpunkt, Workspace, Anzahl der gelöschten Datensätze je Tabelle, ohne Inhalte) und bestätigt sie dem Kunden auf Verlangen in Textform. Backups dienen allein der Wiederherstellung des Gesamtsystems; gelöschte Kundendaten werden aus einem Backup nicht wieder verwendet. Müsste das Gesamtsystem aus einem Backup wiederhergestellt werden, das sie noch enthält, löscht der Auftragsverarbeiter sie erneut.

19. Audits und Auskunftsrechte

Der Auftragsverarbeiter stellt die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses AVV in angemessener Weise erforderlich sind.

Der Kunde kann Audits verlangen, soweit dies nach anwendbarem Datenschutzrecht erforderlich ist. Audits müssen:

• auf das Erforderliche beschränkt sein;
• während der üblichen Geschäftszeiten durchgeführt werden;
• mit angemessener Vorankündigung erfolgen;
• der Vertraulichkeit unterliegen;
• so gestaltet sein, dass Störungen des Betriebs des Auftragsverarbeiters vermieden werden;
• auf Systeme und Prozesse beschränkt sein, die für Kundendaten relevant sind.

Der Auftragsverarbeiter kann Auditanfragen, soweit angemessen, durch die Bereitstellung von Dokumentationen, Richtlinien, Zusammenfassungen, Berichten Dritter oder schriftlichen Antworten erfüllen.

20. Internationale Datenübermittlungen

Der Auftragsverarbeiter darf Kundendaten nur dann in Länder außerhalb des Europäischen Wirtschaftsraums (EWR) übermitteln, wenn dies nach anwendbarem Datenschutzrecht zulässig ist.

Soweit erforderlich, stützt sich der Auftragsverarbeiter auf geeignete Übermittlungsinstrumente, wie etwa:

• Angemessenheitsbeschlüsse;
• Standardvertragsklauseln;
• das EU-U.S. Data Privacy Framework, soweit anwendbar;
• sonstige rechtmäßige Übermittlungsinstrumente.

21. Haftung

Gegenüber betroffenen Personen haftet jede Partei nach Art. 82 DSGVO für den Schaden, den sie durch eine Verletzung der Verordnung verursacht; der Auftragsverarbeiter nur, wenn er seinen speziell den Auftragsverarbeitern auferlegten Pflichten nicht nachgekommen ist oder entgegen den rechtmäßigen Weisungen des Kunden gehandelt hat (Art. 82 Abs. 2 DSGVO).

Hat eine Partei den vollen Schaden ersetzt, kann sie von der anderen den Teil zurückverlangen, der deren Anteil an der Verantwortung für den Schaden entspricht (Art. 82 Abs. 5 DSGVO).

Sanktionen wie Geldbußen nach Art. 83 DSGVO trägt im Innenverhältnis die Partei, die die dem Bußgeld zugrunde liegende Pflichtverletzung zu verantworten hat; trifft beide Parteien ein Verschulden, tragen sie sie anteilig nach Maßgabe ihres jeweiligen Verursachungsanteils. Diese Zuordnung berührt weder die Verantwortlichkeit gegenüber der zuständigen Aufsichtsbehörde oder sonstigen Behörden noch die Ansprüche betroffener Personen nach Art. 82 DSGVO. Im Übrigen gelten die beiden vorstehenden Absätze entsprechend.

Im Verhältnis der Parteien zueinander gelten im Übrigen die Haftungsbestimmungen der AGB, soweit zwingendes Datenschutzrecht nichts anderes vorsieht.

22. Rangfolge

Im Falle eines Widerspruchs zwischen diesem AVV und den AGB hinsichtlich der Verarbeitung von Kundendaten geht dieser AVV im Umfang des Widerspruchs vor.

Anlage 1 — Einzelheiten der Verarbeitung

Gegenstand

Bereitstellung der SaaS-Plattform docket.

Dauer

Für die Dauer des Kundenverhältnisses sowie einen etwaigen Aufbewahrungszeitraum nach Vertragsende.

Art und Zweck

Hosting, Speicherung, Verarbeitung, Übermittlung, Ordnen, Abfragen, Löschung, Support und Monitoring von Kundendaten zur Bereitstellung von docket sowie, soweit der Kunde Integrationen wie Jira einrichtet oder KI-Apps zulässt, der Datenaustausch mit den Diensten, die der Kunde und seine Nutzer verbinden.

Kategorien betroffener Personen

Beschäftigte, freie Mitarbeiter und Subunternehmer, Freelancer, Kundenkontakte, Interessenten, Lieferanten, Dienstleister, Geschäftspartner und sonstige Personen, deren Daten in docket eingegeben werden.

Kategorien personenbezogener Daten

Namen, Kontaktdaten, geschäftliche Informationen, Projektdaten, Ticketinhalte, Zeiteinträge, Rechnungsdaten, Angebotsdaten, hochgeladene Dateien, Kommentare, Notizen und technische Metadaten.

Besondere Kategorien

Nicht beabsichtigt, aber über Freitextfelder und Uploads technisch möglich. Der Kunde ist für die rechtmäßige Nutzung verantwortlich.

Anlage 2 — Genehmigte Unterauftragsverarbeiter

Die genehmigten Unterauftragsverarbeiter sind in der Unterauftragsverarbeiter-Liste aufgeführt.

Anlage 3 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand der Maßnahmen bei Vertragsschluss. docket wird von der Evernow GmbH entwickelt und betrieben; die Infrastruktur stellen die in Anlage 2 genannten Unterauftragsverarbeiter bereit: Anwendung, Datenbank, Dateien und Cache in Rechenzentren in Frankfurt am Main, die Anfragen erreichen sie über das Netzwerk von Cloudflare. Eigene Server betreibt die Evernow GmbH nicht.

1. Vertraulichkeit

Zutrittskontrolle. Die Rechenzentren betreiben Fly.io und Amazon Web Services; der Zutritt ist durch deren Sicherheitskonzepte geregelt und wird von diesen nachgewiesen. Mitarbeiter der Evernow GmbH haben keinen physischen Zugang zu den Systemen.

Zugangskontrolle. Jeder Nutzer meldet sich mit einem persönlichen Konto an; Passwörter (mindestens 8 Zeichen) werden ausschließlich als Hash (bcrypt) gespeichert. Nach wiederholten Fehlversuchen wird das Konto gesperrt, Anmeldeversuche sind je Adresse und je E-Mail-Adresse begrenzt. Jeder Nutzer kann eine Zwei-Faktor-Authentifizierung (TOTP) aktivieren; Administratoren können sie für den gesamten Workspace erzwingen. Eine Sitzung endet nach vier Stunden ohne Aktivität. Eine Passwortänderung, das Zurücksetzen des Passworts und die Archivierung eines Nutzers beenden alle seine Sitzungen und Zugriffstoken. Zugänge verbundener KI-Apps sind auf eine Stunde befristet und werden nur als Hashwert gespeichert.

Zugriffskontrolle. Berechtigungen folgen festen Rollen (Administrator, Projektmanager, Basisnutzer, Zeiterfasser) und werden serverseitig für jede Aktion geprüft; die Regeln sind an einer Stelle definiert, Oberfläche, Schnittstelle und KI-Verbindungen leiten sich daraus ab. Der Zugriff von Mitarbeitern der Evernow GmbH auf Produktivsysteme ist auf wenige, namentlich bestimmte Personen beschränkt, erfolgt über persönliche Konten mit Zwei-Faktor-Authentifizierung und nur, soweit Betrieb oder Support es erfordern.

Trennungskontrolle. Jeder Datensatz trägt die Kennung seines Workspace; jede Datenbankabfrage wird serverseitig auf den Workspace der Anfrage eingeschränkt. Automatisierte Tests prüfen bei jeder Änderung der Software, dass kein Workspace Daten eines anderen erreicht. Entwicklung, Test und Produktion sind getrennte Umgebungen; in Entwicklung und Test werden keine Produktivdaten verwendet.

Verschlüsselung. Alle Verbindungen – Browser, Schnittstellen, E-Mail-Versand, Verbindungen zu Unterauftragsverarbeitern – sind mit TLS verschlüsselt, auch der Weg zwischen Cloudflare und unseren Servern; unverschlüsselte Aufrufe werden umgeleitet. Datenbank und Dateispeicher sind bei den Hostern auf Datenträgerebene verschlüsselt. Zugangsdaten zu Diensten des Kunden (Jira- und Tempo-Token, Geheimnisse der Zwei-Faktor-Authentifizierung) sind zusätzlich auf Anwendungsebene verschlüsselt; Backups der Datenbank sind verschlüsselt.

Pseudonymisierung. Fehlerberichte aus dem Browser enthalten keine Nutzerkennung, E-Mail-Adresse oder Namen. Die Besucherstatistik der Website arbeitet ohne Cookies mit gekürzten IP-Adressen. Exporte enthalten keine Passwort-Hashes, Token oder Geheimnisse.

2. Integrität

Eingabekontrolle. Ausgestellte Angebote und Rechnungen können nicht mehr verändert, sondern nur storniert werden; Änderungen an Tarifen von Kunden, Projekten und Leistungen werden mit Zeitpunkt und Urheber protokolliert; Ereignisse an Tickets und Dokumenten werden im Verlauf angezeigt. Datenbankänderungen laufen in Transaktionen.

Weitergabekontrolle. Daten verlassen docket nur über verschlüsselte Verbindungen. An Dienste des Kunden (Jira, Tempo, KI-Apps) wird erst nach dessen manueller Einrichtung übermittelt, und nur im Umfang der Berechtigungen des jeweiligen Nutzers. Download-Links für Dateien sind signiert und zeitlich befristet.

Entwicklung und Betrieb. Änderungen an der Software werden versioniert; vor jedem Deployment laufen automatisierte Tests (mehr als 3.000) und Sicherheitsprüfungen: statische Code-Analyse, Prüfung der Abhängigkeiten auf bekannte Schwachstellen, Suche nach versehentlich eingecheckten Geheimnissen und eine Prüfung der Schnittstelle gegen bekannte Angriffsmuster. Die Anwendung setzt eine Content Security Policy durch und begrenzt die Anfragerate je Adresse. Abhängigkeiten werden laufend aktualisiert.

3. Verfügbarkeit und Belastbarkeit

Backups. Die Datenbank wird täglich automatisch gesichert; Backups werden 10 Tage beim Hoster in derselben Region aufbewahrt. Dateien liegen im Objektspeicher von Amazon Web Services (Frankfurt), der sie redundant über mehrere Standorte verteilt. Die Wiederherstellung erfolgt aus diesen Sicherungen.

Monitoring. Fehler, Antwortzeiten und Hintergrundaufgaben werden laufend überwacht (AppSignal); bei Fehlern wird das Team benachrichtigt. Die Verfügbarkeit der Infrastruktur überwachen die Hoster; Cloudflare wehrt Überlastungsangriffe (DDoS) ab.

Sicherheitsvorfälle. Vorfälle werden vom Team bewertet, eingedämmt, behoben und dokumentiert. Betroffene Kunden werden nach Abschnitt 17 benachrichtigt. Kompromittierte Zugangsdaten werden umgehend ausgetauscht; alle Sitzungen eines Workspace oder der gesamten Plattform können zentral beendet werden.

4. Verfahren zur regelmäßigen Überprüfung

Organisation. Mitarbeiter mit Zugang zu personenbezogenen Daten sind auf Vertraulichkeit verpflichtet; ihre Zugänge enden mit dem Ausscheiden. Mit allen Unterauftragsverarbeitern bestehen Verträge zur Auftragsverarbeitung. Für Anfragen betroffener Personen und von Kunden ist [email protected] erreichbar.

Löschung. Die Löschfristen sind in der Datenschutzerklärung (Abschnitt 12) festgelegt und werden automatisch angewendet: Workspaces 30 Tage nach Ende des Abonnements, Exportdateien nach 7 Tagen, eingehende E-Mails nach 30 Tagen, unbestätigte Registrierungen nach 14 Tagen, Backups nach 10 Tagen.

Überprüfung. Die Maßnahmen werden mindestens jährlich sowie bei wesentlichen Änderungen der Software oder der Infrastruktur überprüft. Sicherheitshinweise zu eingesetzten Komponenten werden laufend ausgewertet.