Warum das bei Aufgaben strenger zu nehmen ist
Eine Aufgabenliste wirkt harmlos. Tatsächlich ist sie oft das ehrlichste Dokument im ganzen Betrieb. Dort steht, welcher Kunde zahlt und welcher nicht, welche Bewerbung noch offen ist, welcher Termin beim Anwalt ansteht. Wer allein oder in einem kleinen Betrieb arbeitet, führt dort nebenbei auch personenbezogene Daten Dritter.
Damit entscheidet die Wahl des Werkzeugs auch, in welchem Land diese Daten liegen.
Wo die Daten liegen
| Was | Wo | Anbieter |
|---|---|---|
| Website aevo.so | Deutschland | eigener Server im Rechenzentrum der Hetzner Online GmbH, Gunzenhausen |
| Anwendung, Datenbank, Dateien | EU (Irland) | Supabase, Inc. |
| Zahlungsabwicklung | UK, USA | Paddle.com Market Ltd als Merchant of Record |
| Kalender und Postfach | nur bei aktivierter Integration | dein Anbieter, bei Microsoft 365 die Microsoft Corporation |
Die Website lädt nichts von fremden Servern nach. Schriftarten und Bilder liegen auf demselben Server. Es gibt kein Content-Delivery-Netzwerk und keine eingebetteten Dienste.
Die unbequemen Stellen
Ein Anbieter, der hier nur „Server in der EU" schreibt, lässt etwas weg. Deshalb die drei Punkte, an denen es nicht ganz einfach ist.
Supabase. Die Datenbank liegt in der EU-Region Irland, und Nutzerdaten verlassen die EU im Regelbetrieb nicht. Die Supabase, Inc. hat ihren Sitz jedoch außerhalb der EU. Ein Zugriff durch Support- und Wartungspersonal aus einem Drittland ist damit nicht ausgeschlossen. Dafür bestehen ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO und Standardvertragsklauseln nach Art. 46 DSGVO.
Paddle. Der Verkauf von Pro läuft über Paddle als Merchant of Record, mit Sitz im Vereinigten Königreich und Verarbeitung auch in den USA. Für das Vereinigte Königreich gibt es einen Angemessenheitsbeschluss der EU-Kommission, für die USA stützt Paddle sich auf Standardvertragsklauseln beziehungsweise das EU-US Data Privacy Framework. Betroffen sind nur Rechnungs- und Zahlungsdaten, nicht deine Aufgaben und Notizen.
Microsoft 365. Verbindest du ein Microsoft-Konto, ist für die Verarbeitung in diesem Konto die Microsoft Corporation verantwortlich. Die Verbindung lässt sich in den Einstellungen jederzeit trennen.
Vollständig steht das in der Datenschutzerklärung, Ziffern 3, 8, 11 und 12. Wenn du eine Auftragsverarbeitung nach Art. 28 DSGVO für deine eigenen Kunden dokumentieren musst, findest du dort die Angaben für dein Verzeichnis von Verarbeitungstätigkeiten.
Was nicht passiert
- Kein Drittanbieter-Tracking. Keine Werbenetzwerke, keine Social-Media-Plugins, kein Profiling, keine automatisierte Entscheidungsfindung.
- Keine Messung in der Anwendung. Unter aevo.so/app läuft kein Zähler. Die Reichweitenmessung der Website erfolgt mit Matomo auf einem eigenen Server, ohne Cookies und mit gekürzter IP-Adresse. Do Not Track wird beachtet. Weil nichts auf deinem Gerät gespeichert oder ausgelesen wird, braucht es keinen Einwilligungsbanner.
- Keine KI. Deine Inhalte werden nicht zum Training von Modellen verwendet und nicht an KI-Dienste weitergegeben. Mehr dazu unter Aufgabenverwaltung ohne KI-Funktionen.
- Kein Verkauf von Daten. Weder an Werbetreibende noch an sonst jemanden.
Löschen und Exportieren
Das Konto lässt sich direkt in der Anwendung löschen, ohne E-Mail an den Support. Inhalte lassen sich vorher als JSON, CSV oder Markdown exportieren. Der Export ist dein Job, nicht unserer: Nach der Kontolöschung sind die Inhalte weg.
Eine Ausnahme ist gesetzlich erzwungen. Rechnungs- und Steuerunterlagen unterliegen Aufbewahrungsfristen von bis zu zehn Jahren nach § 147 AO und § 257 HGB. Sie bleiben auch nach einer Kontolöschung gespeichert.
Was das praktisch heißt
Wenn du eine Aufgabenverwaltung suchst, bei der du die Verarbeitungskette benennen kannst, ohne zu raten, findest du hier alle Angaben dafür.
Wenn deine Anforderung dagegen lautet, dass kein Verarbeiter außerhalb der EU auch nur theoretisch Zugriff haben darf, ist Aevo wegen des Supabase-Sitzes nicht das richtige Werkzeug. Dann brauchst du eine selbst gehostete Lösung.