Unterauftragsverarbeiter-Liste
Drittanbieter, die die Evernow GmbH zur Bereitstellung von docket einsetzt.
Stand: 6. November 2026
Unterauftragsverarbeiter
Der „Verarbeitungsort“ ist der Ort, an dem die Daten gespeichert oder verarbeitet werden – nicht der Sitz des Anbieters. Auch ein Anbieter mit Sitz außerhalb des Europäischen Wirtschaftsraums (EWR) kann Daten in Rechenzentren im EWR verarbeiten; die Daten können dann dennoch dem Recht seines Sitzlandes unterliegen oder von dort aus zugänglich sein. Für Anbieter mit Sitz außerhalb des EWR nennt die nachstehende Tabelle die Garantie nach Kapitel V DSGVO, auf die wir uns bei diesem Anbieter stützen – siehe hierzu Internationale Datenübermittlungen weiter unten.
| Anbieter | Zweck | Verarbeitungsort | Vertragspartner, Auftragsverarbeitungsvertrag und Garantie für Drittlandübermittlungen |
|---|---|---|---|
| Fly.io | Anwendungs-Hosting und Infrastruktur, einschließlich der Datenbank (Fly.io Managed Postgres) und ihrer Backups | Frankfurt, Deutschland, gemäß aktueller Konfiguration | Fly.io, Inc. (Vereinigte Staaten). Auftragsverarbeitungsvertrag von Fly.io, von uns gegengezeichnet. EU-U.S. Data Privacy Framework (Registereintrag aktiv). |
| Amazon Web Services (S3) | Speicherung hochgeladener Dateien und Anhänge | Frankfurt, Deutschland, gemäß aktueller Speicherkonfiguration | Amazon Web Services, Inc. (Vereinigte Staaten), erfasst von der Zertifizierung der Amazon.com, Inc. AWS GDPR Data Processing Addendum, Bestandteil der AWS-Nutzungsbedingungen. EU-U.S. Data Privacy Framework (Registereintrag aktiv) und Standardvertragsklauseln. |
| Redis Cloud | Warteschlange für Hintergrundaufgaben, Echtzeit-Aktualisierungen, Caching und Ratenbegrenzung | Frankfurt, Deutschland (AWS eu-central-1) | Redis EMEA Ltd. (London, Vereinigtes Königreich) als Vertragspartei; betrieben von Redis Inc. (Vereinigte Staaten). Auftragsverarbeitungsvertrag mit Standardvertragsklauseln, Bestandteil des Redis Cloud Agreement. Speicherung in Frankfurt; Vereinigtes Königreich: Angemessenheitsbeschluss; Zugriffe aus den Vereinigten Staaten auf Grundlage der Standardvertragsklauseln. Keine Zertifizierung nach dem Data Privacy Framework. |
| Stripe | Abrechnung, Zahlungsabwicklung, Abonnementverwaltung, Betrugsprävention | EU / Vereinigte Staaten / globale Verarbeitung, abhängig von den Stripe-Diensten und der rechtlichen Rolle | Stripe Payments Europe, Ltd (Irland, EU) als EU-Vertragspartei; die Verarbeitung kann auch Stripe, LLC (Vereinigte Staaten) einbeziehen. Data Processing Agreement, Bestandteil des Stripe-Vertrags. EU-U.S. Data Privacy Framework (Registereintrag aktiv). Stripe verarbeitet nur die Konto-, Rechnungs- und Zahlungsdaten des Kunden, für die wir Verantwortliche sind; Workspace-Inhalte erreichen Stripe nicht. |
| Postmark | Versand transaktionaler E-Mails und Empfang von Antworten auf Benachrichtigungs-E-Mails | Vereinigte Staaten / globale Verarbeitung | AC PM LLC (Chicago, Vereinigte Staaten), Teil von ActiveCampaign. Auftragsverarbeitungsvertrag mit Standardvertragsklauseln (Modul 2), Bestandteil der Postmark-Nutzungsbedingungen. Garantie: Standardvertragsklauseln. |
| AppSignal | Monitoring, Anwendungsprotokolle (einschließlich IP-Adressen) und Fehlererfassung auf dem Server und im Browser | EU | AppSignal B.V. ('s-Hertogenbosch, Niederlande, EU). Keine Drittlandübermittlung. |
| Mistral AI | Auslesen von Eingangsrechnungen ohne E-Rechnung bei den Fremdkosten , Vorschläge für Zeiteinträge und deren Beschreibung sowie Vorschläge für Positionen von Angeboten und Rechnungen, nur in Workspaces, deren Administrator dies eingeschaltet hat (siehe Datenschutzerklärung Abschnitte 8.1, 8.2 und 8.3) | EU | Mistral AI SAS (Paris, Frankreich, EU). Auftragsverarbeitungsvertrag (Data Processing Addendum), Bestandteil der Mistral-AI-Geschäftsbedingungen; keine Verwendung der Daten zum Training; Aufbewahrung von Anfrage und Antwort bis zu 30 Tage zur Missbrauchserkennung. Keine Drittlandübermittlung. |
| Cloudflare | Domainverwaltung (DNS) sowie Weiterleitung und Schutz aller Anfragen an docket.rocks und die Anwendung (Reverse Proxy mit TLS, Abwehr von Angriffen und Überlastung, Zwischenspeicherung öffentlicher Dateien) | Globales Netzwerk; eine Anfrage wird im Rechenzentrum nahe dem Aufrufenden verarbeitet | Cloudflare, Inc. (Vereinigte Staaten). Data Processing Addendum, Bestandteil des Self-Serve Subscription Agreement. EU-U.S. Data Privacy Framework (Registereintrag aktiv, Rezertifizierung in Prüfung), hilfsweise Standardvertragsklauseln. |
Integrationen, die Sie verbinden
docket kann Daten mit Diensten austauschen, die Kunden oder deren Nutzer selbst verwenden. Diese sind keine Unterauftragsverarbeiter der Evernow GmbH: Der Kunde wählt sie aus, nutzt sie im Rahmen seines eigenen Vertrags mit dem Anbieter und richtet sie manuell ein. Solange der Workspace einen Dienst nicht verbunden hat, wird an ihn nichts übermittelt.
| Dienst | Was ausgetauscht wird | Voraussetzung |
|---|---|---|
| Atlassian Jira Cloud | Vorgänge verknüpfter Projekte und darauf erfasste Zeiten werden aus Jira gelesen; Zeiteinträge, die verbundene Nutzer auf Jira-Vorgänge buchen, werden unter ihrem Atlassian-Konto in Jira geschrieben. In docket gespeicherte Atlassian-Konto-IDs werden bei Atlassian abgeglichen, um Daten geschlossener Konten zu löschen (eigene Verarbeitung der Evernow GmbH als Verantwortliche, siehe Datenschutzerklärung Abschnitt 7.11). | Ein Administrator verbindet die Jira-Site und verknüpft Projekte; jeder Nutzer verbindet sein eigenes Atlassian-Konto. |
| Tempo Timesheets | Zeiteinträge auf Jira-Vorgängen werden anstelle der Jira-eigenen Arbeitsprotokolle aus Tempo gelesen und nach Tempo geschrieben. | Ein Administrator wählt Tempo für die Jira-Verbindung aus und gibt ein Tempo-API-Token ein. |
| KI-Apps, die ein Nutzer über das Model Context Protocol verbindet (z. B. Claude, ChatGPT, Cursor) | Auf Anfrage des Nutzers liest die App, was dieser Nutzer in docket sehen kann, und kann die eigenen Zeiteinträge des Nutzers buchen, ändern und löschen sowie in seinem Namen Tickets anlegen, kommentieren, schließen, wieder öffnen und ihre Termine und Priorität ändern. Der Anbieter der App verarbeitet die Daten, die sie abruft, nach seinem Vertrag mit dem Kunden oder Nutzer. Für vertrauliche Projektdaten empfehlen wir, KI-Verbindungen nur mit einem Business-Tarif des App-Anbieters zuzulassen, der ein Training mit den Daten ausschließt und einen Auftragsverarbeitungsvertrag umfasst, oder sie im Workspace abgeschaltet zu lassen. | Ein Administrator lässt KI-Verbindungen für den Workspace zu; jeder Nutzer verbindet eine App und bestätigt dies auf der Zustimmungsseite von docket. |
Internationale Datenübermittlungen
Mehrere Unterauftragsverarbeiter haben ihren Hauptsitz außerhalb des Europäischen Wirtschaftsraums, auch wenn sich die von uns genutzte Infrastruktur innerhalb des EWR befindet (siehe Tabelle oben). Soweit dies zutrifft, stützen wir uns auf die für den jeweiligen Anbieter angegebene Garantie, etwa das EU-U.S. Data Privacy Framework oder Standardvertragsklauseln, im Einklang mit Abschnitt 11 der Datenschutzerklärung und Abschnitt 20 des Auftragsverarbeitungsvertrags (AVV).
Die Einträge im Register des Data Privacy Framework (dataprivacyframework.gov) haben wir zuletzt am 26. Oktober 2026 geprüft. Fällt eine Zertifizierung weg, stützen wir uns auf die Standardvertragsklauseln des jeweiligen Auftragsverarbeitungsvertrags, soweit vereinbart, und aktualisieren diese Liste.
Änderungen bei Unterauftragsverarbeitern
Wir aktualisieren diese Liste, wenn sich unsere Unterauftragsverarbeiter ändern.
Über wesentliche Hinzufügungen oder Ersetzungen von Unterauftragsverarbeitern informieren wir durch Veröffentlichung einer aktualisierten Liste und per E-Mail an die Administratoren der Kunden. Soweit dies zumutbar möglich ist, erfolgt diese Mitteilung mindestens 30 Tage, bevor der neue Unterauftragsverarbeiter Kundendaten verarbeitet.
Kunden können innerhalb der Mitteilungsfrist in Textform widersprechen; ohne Widerspruch gilt der neue Unterauftragsverarbeiter als genehmigt. Kann ein Widerspruch nicht ausgeräumt werden, kann der Kunde den Vertrag kündigen, bevor der neue Unterauftragsverarbeiter für seine Daten eingesetzt wird (AVV, Abschnitt 14).
Kontakt
Fragen zu Unterauftragsverarbeitern richten Sie bitte an: info@docket.rocks.
