Warum das bei Aufgaben strenger zu nehmen ist als bei anderen Programmen
Eine Aufgabenliste wirkt harmlos. Tatsächlich ist sie oft das ehrlichste Dokument im ganzen Betrieb. Dort steht, welcher Kunde zahlt und welcher nicht, welche Bewerbung noch offen ist und welcher Termin beim Anwalt ansteht. Wer als Selbstständiger oder in einem kleinen Betrieb arbeitet, führt dort nebenbei auch personenbezogene Daten Dritter.
Damit ist die Wahl des Werkzeugs keine reine Geschmacksfrage mehr. Sie ist eine Entscheidung darüber, in welche Rechtsordnung diese Daten fließen.
Wo die Daten tatsächlich liegen
| Was | Wo | Anbieter |
|---|---|---|
| Website aevo.so | Deutschland | eigener Server im Rechenzentrum der Hetzner Online GmbH, Gunzenhausen |
| Anwendung, Datenbank, Dateien | EU (Irland) | Supabase, Inc. |
| Zahlungsabwicklung | UK, USA | Paddle.com Market Ltd als Merchant of Record |
| Kalender und Postfach | nur bei aktivierter Integration | dein Anbieter, bei Microsoft 365 die Microsoft Corporation |
Die Website lädt nichts von fremden Servern nach. Schriftarten und Bilder liegen auf demselben Server, es gibt kein Content-Delivery-Netzwerk und keine eingebetteten Dienste. Dein Browser spricht beim Aufruf dieser Seite mit genau einem Rechner, und der steht in Bayern.
Die unbequemen Stellen
Ein Anbieter, der an dieser Stelle nur „Server in der EU" schreibt, lässt etwas weg. Deshalb hier die drei Punkte, an denen es nicht ganz einfach ist:
Supabase. Die Datenbank liegt in der EU-Region Irland, und Nutzerdaten verlassen die EU im Regelbetrieb nicht. Die Supabase, Inc. hat ihren Sitz jedoch außerhalb der EU. Ein Zugriff durch Support- und Wartungspersonal aus einem Drittland ist damit nicht ausgeschlossen. Dafür bestehen ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO und Standardvertragsklauseln nach Art. 46 DSGVO.
Paddle. Der Verkauf von Pro läuft über Paddle als Merchant of Record, mit Sitz im Vereinigten Königreich und Verarbeitung auch in den USA. Für das Vereinigte Königreich gibt es einen Angemessenheitsbeschluss der EU-Kommission, für die USA stützt Paddle sich auf Standardvertragsklauseln beziehungsweise das EU-US Data Privacy Framework. Betroffen sind davon nur Rechnungs- und Zahlungsdaten, nicht deine Aufgaben und Notizen.
Microsoft 365. Verbindest du ein Microsoft-Konto, gilt für die Verarbeitung in diesem Konto die Microsoft Corporation als eigenständig Verantwortliche. Das ist eine Entscheidung, die du triffst, und sie lässt sich in den Einstellungen jederzeit zurücknehmen.
Vollständig steht das alles in der Datenschutzerklärung, Ziffern 3, 8, 11 und 12. Wenn du eine Auftragsverarbeitung nach Art. 28 DSGVO für deine eigenen Kunden dokumentieren musst, findest du dort die Angaben, die in dein Verzeichnis von Verarbeitungstätigkeiten gehören.
Was nicht passiert
- Kein Drittanbieter-Tracking. Keine Werbenetzwerke, keine Social-Media-Plugins, kein Profiling, keine automatisierte Entscheidungsfindung.
- Keine Messung in der Anwendung. Unter aevo.so/app läuft kein Zähler. Die Reichweitenmessung der Website erfolgt mit Matomo auf einem eigenen Server, ohne Cookies und mit gekürzter IP-Adresse; Do Not Track wird beachtet. Weil nichts auf deinem Gerät gespeichert oder ausgelesen wird, braucht es dafür keinen Einwilligungsbanner.
- Keine KI. Deine Inhalte werden nicht zum Training von Modellen verwendet und nicht an KI-Dienste weitergegeben. Das ist eine Produktentscheidung, keine Formulierung: Aufgabenverwaltung ohne KI-Funktionen.
- Kein Verkauf von Daten. Weder an Werbetreibende noch an sonst jemanden.
Löschen und Exportieren
Das Konto lässt sich direkt in der Anwendung löschen, ohne E-Mail an den Support. Inhalte lassen sich vorher als JSON, CSV oder Markdown exportieren. Wichtig: Der Export ist dein Job, nicht unserer. Nach der Kontolöschung sind die Inhalte weg.
Eine Ausnahme bleibt, und sie ist gesetzlich erzwungen: Rechnungs- und Steuerunterlagen unterliegen Aufbewahrungsfristen von bis zu zehn Jahren nach § 147 AO und § 257 HGB. Sie bleiben auch nach einer Kontolöschung gespeichert. Das kann kein Anbieter anders lösen.
Was das praktisch heißt
Wenn du eine Aufgabenverwaltung suchst, bei der du die Verarbeitungskette benennen kannst, ohne raten zu müssen, findest du hier alle Angaben dafür. Wenn deine Anforderung dagegen lautet, dass kein Verarbeiter außerhalb der EU auch nur theoretisch Zugriff haben darf, ist Aevo wegen des Supabase-Sitzes nicht das richtige Werkzeug. Dann brauchst du eine selbst gehostete Lösung, und das sollte dir jemand sagen, bevor du anfängst.