Datenschutzerklärung

1. Verantwortlicher

Change your Business GmbH
Bahnhofstrasse 17
89150 Laichingen

Vertreten durch den Geschäftsführer Adrian Musiol
E-Mail: service@changeyourbusiness.de

Ein Datenschutzbeauftragter ist nicht benannt. Bitte richte Datenschutzanfragen an die genannte E-Mail-Adresse.

2. Worum es geht

Taskisdone ist eine Anwendung, mit der Teams offene Aufgaben, Zuständigkeit und Erledigungen festhalten. Diese Erklärung beschreibt, welche Daten dabei anfallen und an wen sie gehen. Genannt sind nur Dienste, die die Anwendung wirklich verwendet.

Für die Website, die Nutzerkonten und den Betrieb von Taskisdone sind wir Verantwortliche. Für Aufgaben, Kommentare, Anhänge und Mitarbeiterdaten, die eine Kundenfirma in der App einträgt, ist die Kundenfirma Verantwortliche. Wir verarbeiten diese Daten in ihrem Auftrag (Art. 28 DSGVO).

3. Hosting und Server-Logs

Die Anwendung läuft bei Vercel. Beim Aufruf verarbeitet der Hoster die üblichen Verbindungsdaten, insbesondere IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse und Angaben zum Browser. Das ist nötig, um die Seite auszuliefern und Störungen zu erkennen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Betrieb und Sicherheit der Website).

4. Konto und Anmeldung

Ein Konto entsteht nicht von allein. Angemeldet wird, wer schon eingeladen ist. Dafür gibt es drei Wege:

• E-Mail-Link. Du gibst deine E-Mail-Adresse ein. Ist sie bekannt, schicken wir einen einmaligen Link. Der Link gilt 15 Minuten. Gespeichert wird nur ein SHA-256-Hash des Links, nicht der Link selbst. Eine Einladung gilt 7 Tage.
• QR-Code und PIN. Der Chef erzeugt einen QR-Code. Die PIN wird nur als scrypt-Hash gespeichert, nie im Klartext. Der Firmencode liegt bei der Organisation. Der QR-Link gilt 15 Minuten.
• Google oder Microsoft. Wenn diese Anmeldung eingeschaltet ist, kannst du dich mit einem Google-Konto oder über Microsoft Entra ID anmelden. Der Anbieter übermittelt uns Name, E-Mail-Adresse und, falls vorhanden, ein Profilbild. Ein Konto wird dadurch nicht neu angelegt. Unbekannte Adressen kommen nicht hinein.

Zum Konto speichern wir Name, E-Mail-Adresse, Rolle, optionales Profilbild, Zugehörigkeit zur Firma und technische Werte wie Serie und Stufe, soweit die App sie anzeigt.

Zur Begrenzung von Fehlversuchen speichern wir für etwa eine Stunde einen Hash aus E-Mail-Adresse oder IP-Adresse, nicht die IP-Adresse im Klartext.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Nutzung von Taskisdone, auch in der Testphase) und Art. 6 Abs. 1 lit. f DSGVO (Missbrauchsschutz).

5. Cookies und Speicher im Browser

Wir setzen nur technisch nötige Cookies. Es gibt kein Analyse- und kein Marketing-Cookie.

• Sitzung. Nach der Anmeldung setzt Auth.js ein Cookieauthjs.session-token (über HTTPS __Secure-authjs.session-token). Darin steckt ein signiertes JWT mit Nutzerkennung, Rolle, Name und E-Mail. Es ist httpOnly, gilt höchstens 30 Tage und wird bei Nutzung spätestens täglich erneuert.
• Anmeldung über Google oder Microsoft. Für den Ablauf setzt Auth.js zusätzlich kurzlebige Cookies (authjs.csrf-token, authjs.callback-url, mit Sicherheitspräfix).
• Gleiches Gerät. Beim Anfordern eines E-Mail-Links setzen wir das httpOnly-Cookie tid_link_device, Pfad /login, 15 Minuten. Es enthält eine Zufallszahl, damit der Link auf demselben Gerät direkt anmelden kann. Am Token speichern wir nur den Hash.

Im sessionStorage merkt sich der Browser unter taskisdone.recent-projects zuletzt gewählte Projekte (Kennung und Name). Das bleibt auf dem Gerät und endet mit der Sitzung des Tabs. Es ist kein Cookie.

Rechtsgrundlage für die Cookies ist § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich) in Verbindung mit Art. 6 Abs. 1 lit. b und lit. f DSGVO.

6. Aufgaben, Mitarbeitende und Inhalte in der App

In der App liegen, was die Firma dort einträgt: Aufgaben und Projekte, Beschreibungen, Zuständigkeit, Fälligkeit, Priorität, Kommentare, Erledigungen mit Name und Uhrzeit, Ziele, Anhänge (Notizen, Links, kleinere Dateien wie Bilder oder PDF) und, wenn genutzt, Sprachtranskripte und Bilder zu einer Vision.

Diese Inhalte verarbeiten wir als Auftragsverarbeiter der Kundenfirma. Die Kundenfirma entscheidet über Zwecke und welche Personen sie anlegt. Rechtsgrundlage im Verhältnis zu den betroffenen Personen ist damit die der Kundenfirma; uns gegenüber besteht der Vertrag über die Auftragsverarbeitung.

Links in Aufgaben können auf YouTube, Vimeo oder Google Drive zeigen. Wir betten diese Dienste nicht ein. Erst wenn jemand den Link öffnet, verbindet sich der Browser mit dem jeweiligen Anbieter.

7. KI-Funktionen (OpenAI)

SMART-Coach, Vision-Coach, Sprachtranskription und Bildvorschläge können OpenAI nutzen, wenn ein API-Schlüssel eingerichtet ist. Ohne Schlüssel bleiben Coach und Sprache bei der lokalen Auswertung bzw. bei einer Texteingabe. Es gibt dann keinen Aufruf an OpenAI.

Ist der Schlüssel gesetzt und die Funktion wird benutzt, gehen an api.openai.com:

• der Zieltext an die Chat-Schnittstelle (Modelle wie gpt-4o-mini),
• eine Audiodatei an die Transkription (whisper-1),
• eine Bildbeschreibung an die Bildschnittstelle (Standard dall-e-3).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, weil die Funktion zur Nutzung der App gehört und von der angemeldeten Person ausgelöst wird. Bei Auftragsdaten handelt die Kundenfirma als Verantwortliche.

8. E-Mail (Resend)

Anmeldelinks und Einladungen verschicken wir über die API von Resend (api.resend.com), sofern ein API-Schlüssel hinterlegt ist. Übermittelt werden Empfängeradresse, Betreff und der Inhalt der Mail (Name, Link). Im Quellcode ist kein bestimmtes Rechenzentrum fest hinterlegt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

9. Datenbank und Sicherung

Die Anwendungsdaten liegen in PostgreSQL. Die Anwendung verbindet sich über DATABASE_URL mit dem Treiber postgres.js. Betrieben wird diese Datenbank bei Neon. Ohne Datenbankadresse läuft nur ein flüchtiger Speicher für Entwicklung und Vorschau, der nicht als Produktivspeicher gedacht ist.

Eine tägliche Sicherung schreibt einen verschlüsselten Datenbankabzug als Artifact in GitHub Actions. Diese Artifacts liegen 30 Tage. Zusätzlich bietet Neon eine eigene Verlaufssicherung, deren Zeitraum vom Neon-Tarif abhängt.

10. Schrift und Video auf der Website

Die Schriftarten Geist, Geist Mono und Instrument Serif werden beim Bau über next/font eingebunden und danach von unserer eigenen Website ausgeliefert. Der Browser baut dafür keine Verbindung zu Google auf.

Das Pitch-Video auf der Startseite ist eine eigene Datei auf unserem Server. Es ist kein externer Videodienst eingebunden.

11. Empfänger

• Vercel Inc. — Hosting der Anwendung
• Neon — PostgreSQL-Datenbank
• Resend — Versand von Anmelde- und Einladungsmails
• Google — nur bei Anmeldung mit Google
• Microsoft (Entra ID) — nur bei Anmeldung mit Microsoft
• OpenAI — nur wenn eine KI-Funktion mit gesetztem API-Schlüssel genutzt wird
• GitHub (Microsoft) — verschlüsselte Datenbanksicherung, 30 Tage
• YouTube, Vimeo oder Google Drive — nur wenn jemand einen in der App gespeicherten Link öffnet

12. Drittland

Vercel, OpenAI, Google und Microsoft sitzen in den USA. Bei Neon und Resend legt der Quellcode die Region nicht fest, eine Verarbeitung außerhalb der EU ist deshalb nicht ausgeschlossen. Soweit ein Anbieter unter dem EU-US Data Privacy Framework zertifiziert ist, stützen wir die Übermittlung darauf (Art. 45 DSGVO), sonst auf Standardvertragsklauseln nach Art. 46 DSGVO.

13. Speicherdauer

• Testphase: 14 Tage zum Ausprobieren, danach ist der Zugang nur noch lesbar. Löschung am 44. Tag.
• Sitzung: höchstens 30 Tage ohne Nutzung.
• Anmeldelink und QR-Code: 15 Minuten. Einladung: 7 Tage. Gespeichert wird der Hash.
• Geräte-Cookie: 15 Minuten.
• Einträge zur Versuchszählung: etwa eine Stunde, nur als Hash.
• PIN: als Hash, bis sie geändert, zurückgesetzt oder das Konto gelöscht wird.
• GitHub-Sicherung: 30 Tage. Der Neon-Verlauf hängt vom Tarif ab.

Kontodaten und App-Inhalte außerhalb der Testphase löschen wir, wenn der Zweck entfällt, die Kundenfirma Löschung verlangt oder eine gesetzliche Pflicht das verlangt.

14. Deine Rechte

Du hast gegenüber dem Verantwortlichen das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f (Art. 21). Soweit eine Einwilligung die Grundlage wäre, kannst du sie mit Wirkung für die Zukunft widerrufen.

Für Mitarbeiterdaten in einer Kundenfirma ist zuerst diese Firma Ansprechpartner, weil sie Verantwortliche ist. Du kannst dich zusätzlich an uns wenden. Wir geben das Anliegen an die Kundenfirma weiter oder erledigen es, soweit wir als Auftragsverarbeiter dazu verpflichtet sind.

15. Beschwerde

Du kannst dich bei einer Aufsichtsbehörde beschweren (Art. 77 DSGVO). Zuständig für uns ist:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI BW)
Lautenschlagerstraße 20
70173 Stuttgart
www.baden-wuerttemberg.datenschutz.de