Datenschutzerklärung

Stand: 19. Oktober 2026

1. Verantwortlicher

Len Messerschmidt e.K., Norderreihe 21, 22767 Hamburg, Deutschland. Inhaber: Len Messerschmidt. E-Mail: hello@inhouseticket.com

2. Worum es geht

inhouseticket ist ein Ticketsystem für Teams einer Firma. Wir verarbeiten nur die Daten, die für Anmeldung, Zusammenarbeit im Workspace und einen sicheren Betrieb nötig sind. Es gibt keine Werbung, kein Tracking über Websites hinweg und keine Cookies zu Analysezwecken.

3. Welche Daten wir verarbeiten

• Konto: Firmen-E-Mail-Adresse, Name (bei der Registrierung angegeben, sonst aus der E-Mail-Adresse vorgeschlagen), Zeitzone (bei der Einrichtung aus deinem Browser vorgeschlagen, änderbar), Rolle und Mitgliedschaft im Workspace sowie deine bevorzugte Startansicht (Liste oder Board).
• Einrichtung (freiwillig): Beim Anlegen eines Workspace fragen wir optional, welche Werkzeuge ihr bisher genutzt habt (z. B. Excel, Jira) und wie du von inhouseticket erfahren hast (z. B. Suche, Empfehlung, bei „Andere“ ein kurzer Freitext bis 100 Zeichen). Die Antworten speichern wir zu deinem Konto im jeweiligen Workspace auf unserem Server – nicht in deinem Browser – und werten sie nur zusammengefasst aus, um das Angebot und unsere Bekanntheit zu verstehen. Du kannst die Fragen überspringen; dann speichern wir nichts. Dazu kommen der gewählte Team-Bereich (z. B. Marketing, IT), nach dem wir das erste Projekt anlegen, und der Stand der Einrichtung, damit sie nach einem Neuladen an derselben Stelle weitergeht.
• Registrierung: Registrierst du dich mit Name, Firmen-E-Mail-Adresse und Passwort, legen wir noch kein Konto an. Wir speichern die Angaben als offene Registrierung – das Passwort nur als Hash (scrypt), dazu einen einmal nutzbaren Bestätigungscode als Hash (SHA-256) und die Zahl falscher Bestätigungsversuche – und schicken dir einen Bestätigungslink. Erst wenn du ihn öffnest und dein Passwort noch einmal eingibst, entsteht das Konto. Gibt es für die Adresse schon ein Konto, legen wir nichts an und schicken stattdessen einen Hinweis mit Link zur Anmeldung; die Seite antwortet in beiden Fällen gleich.
• Inhalte im Workspace: Projekte, Tickets, Beschreibungen, Labels und das Aktivitätsprotokoll („wer hat was wann geändert“).
• Anmeldung: Jedes Konto hat ein Passwort. Wir speichern nicht das Passwort selbst, sondern nur einen Hash (Verfahren scrypt mit zufälligem Salt), aus dem es sich nicht zurückrechnen lässt. Alternativ ist die Anmeldung per Link an deine E-Mail-Adresse möglich; dafür speichern wir einen einmal nutzbaren, gehasht abgelegten Code für 15 Minuten. Wer sich per Link anmeldet und noch kein Passwort hat, legt danach eines fest. Der Link meldet nur bestehende Konten an, ein Konto entsteht dabei nie: Gibt es für die Adresse noch keins, schicken wir stattdessen einen Hinweis mit Link zur Registrierung – höchstens einmal je 15 Minuten; die Anmeldeseite antwortet in beiden Fällen gleich.
• Passwort zurücksetzen: Forderst du einen Link zum Zurücksetzen an (unter „Passwort vergessen“ oder in deinen Kontoeinstellungen), speichern wir einen einmal nutzbaren Code nur als Hash (SHA-256); er gilt 30 Minuten. Nach dem Zurücksetzen werden alle Sitzungen beendet.
• Anmeldeversuch ohne Passwort: Versucht jemand, sich mit einem Passwort bei einem Konto anzumelden, das noch keins hat, schicken wir an dessen E-Mail-Adresse einen Anmeldelink, mit dem sich ein Passwort festlegen lässt – höchstens einmal je 15 Minuten. Die Anmeldeseite antwortet dabei genauso wie bei einem falschen Passwort.
• Begrenzung von Anfragen: Gegen das Erraten von Passwörtern und massenhaften Mailversand zählen wir Anmelde-, Registrierungs- und Bestätigungsversuche sowie angeforderte E-Mails je IP-Adresse und je E-Mail-Adresse; die E-Mail-Adresse dabei nur pseudonymisiert (Hash der Adresse). Die Zähler liegen nur im Arbeitsspeicher des Servers, werden nicht dauerhaft gespeichert und zählen spätestens nach 15 Minuten nicht mehr.
• Sitzungen: Für eine aktive Anmeldung speichern wir eine Sitzung mit IP-Adresse und Browser-Kennung (User-Agent), um Missbrauch erkennen zu können. Sitzungen laufen nach 30 Tagen ab und werden dann gelöscht.
• Einladungen: E-Mail-Adresse der eingeladenen Person, wer eingeladen hat, Gültigkeit 7 Tage.
• Kommentare, Unteraufgaben und Bild-Anhänge in Tickets sowie Erwähnungen (@Name).
• Benachrichtigungen: Hinweise in der Inbox (z. B. Zuweisung, Erwähnung, Fälligkeit) und, sofern nicht abgeschaltet, eine tägliche Zusammenfassung per E-Mail.
• Verbindungen zu KI-Assistenten: persönliche API-Tokens (nur als Hash gespeichert, mit Ablaufdatum und Zeitpunkt der letzten Nutzung) bzw. OAuth-Verbindungen (z. B. Claude) mit dem gewählten Workspace.

4. Zwecke und Rechtsgrundlagen

• Bereitstellung des Dienstes und der Zusammenarbeit im Workspace: Art. 6 Abs. 1 lit. b DSGVO (Vertrag bzw. Nutzungsverhältnis).
• Sicherheit (Sitzungsdaten, Begrenzung von Anmeldeversuchen und E-Mails je IP- und je E-Mail-Adresse): Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an einem sicheren Betrieb.
• Registrierung, Anmeldung mit Passwort sowie Versand von Bestätigungslinks, Anmeldelinks, Links zum Zurücksetzen des Passworts und Einladungen per E-Mail: Art. 6 Abs. 1 lit. b DSGVO (Anbahnung und Durchführung des Nutzungsverhältnisses).
• Freiwillige Antworten bei der Einrichtung (bisher genutzte Werkzeuge, wie du von uns erfahren hast): Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse, das Angebot zu verbessern und zu verstehen, wie Teams zu uns finden. Die Angabe ist freiwillig; du kannst der Verarbeitung jederzeit widersprechen (Art. 21 DSGVO), dann löschen wir deine Antworten.

Für die Inhalte, die ein Unternehmen in seinem Workspace anlegt, ist das jeweilige Unternehmen verantwortlich; wir verarbeiten sie in dessen Auftrag (Art. 28 DSGVO). Einen Auftragsverarbeitungsvertrag stellen wir auf Anfrage bereit.

5. Anonyme Nutzungsstatistik

Um zu sehen, wie die Website genutzt wird, zählen wir vollständige Seitenaufrufe pro Tag – mit dem Pfad (Seiten innerhalb eines Workspace ohne dessen Namen, z. B. „/[workspace]/p/[key]“) und der Domain der verweisenden Website (z. B. „linkedin.com“). Wir speichern dabei weder IP-Adresse noch Browser-Kennung, setzen keine Cookies und können Aufrufe keiner Person zuordnen. Die Zählung findet auf unserem eigenen Server statt; Drittanbieter sind nicht beteiligt. Hast du die Messung unten deaktiviert, zählen wir deine Aufrufe auch hier nicht.

Zusätzlich messen wir mit Matomo, einer Open-Source-Software, die wir selbst unter analytics.klatxt.de bei Mittwald in Deutschland betreiben, wie die Website und die Anwendung genutzt werden – auf den öffentlichen Seiten ebenso wie bei Anmeldung, Registrierung und in Workspaces. Matomo setzt keine Cookies, speichert nichts auf deinem Gerät und liest dort nichts aus: Bildschirmauflösung, Plugins, Client Hints, Ortszeit und Ladezeiten werden nicht erfasst, Klicks auf Links und die Verweildauer („Heartbeat“) ebenfalls nicht. Dein Browser spricht dabei nur mit inhouseticket.com; unser Server kürzt deine IP-Adresse (IPv4 auf die ersten zwei, IPv6 auf die ersten sechs Bytes), bevor er den Aufruf an Matomo weitergibt.

Erfasst werden die aufgerufene Seite, die verweisende Website, Uhrzeit, sowie aus den Angaben, die jeder Browser bei einem Aufruf ohnehin mitschickt, Browser, Betriebssystem und Sprache und das grob aus der gekürzten Adresse abgeleitete Land. Adressen erfassen wir nur vereinheitlicht: Namen und Kennungen von Workspaces, Projekten und Tickets sowie Tokens, E-Mail-Adressen und Suchbegriffe werden vorher entfernt (z. B. „/:id/p/:id“), als Seitentitel dient eine allgemeine Bezeichnung wie „Board“ oder „Ticket Detail“, nie ein Ticket- oder Projekttitel. Außerdem zählen wir einzelne Schritte als Ereignisse ohne personenbezogene Inhalte, etwa „Registrierung abgeschlossen“, „Workspace angelegt“, „Einrichtungsschritt abgeschlossen“ (nur der Name des Schritts, z. B. „Profil“) und „Einrichtung abgeschlossen“ (nur der gewählte Team-Bereich, z. B. „Marketing“), „Ticket erstellt“, „Status geändert“ (nur die Kategorie offen/in Arbeit/erledigt), „Ansicht gewechselt“, „Mitglieder eingeladen“ (nur die Anzahl) oder „Claude verbunden“. Namen, E-Mail-Adressen und Ticket-Inhalte gelangen nie zu Matomo; Zugriffe über API und MCP messen wir nicht. Einen Besuch fasst Matomo nur über einen täglich wechselnden, auf dem Server gebildeten Wert zusammen; über Tage hinweg erkennt es dich nicht wieder.

Rechtsgrundlage ist unser berechtigtes Interesse, das Angebot zu verbessern und den Weg von der Startseite bis zur Nutzung zu verstehen (Art. 6 Abs. 1 lit. f DSGVO). Du kannst dem jederzeit widersprechen (Art. 21 DSGVO): mit dem Schalter unten oder, ganz ohne uns, mit „Do Not Track“ oder „Global Privacy Control“ in deinem Browser. Dann messen wir nicht – weder im Browser noch Ereignisse, die unser Server meldet. Die Messdaten löschen wir nach 12 Monaten.

Der Schalter speichert das Cookie iht_optout mit dem Wert „1“ in diesem Browser (siehe Abschnitt 7). Er gilt für dieses Gerät und diesen Browser; löschst du deine Cookies, ist der Widerspruch ebenfalls gelöscht.

6. Verbindung mit KI-Assistenten (z. B. Claude)

Mitglieder können inhouseticket freiwillig mit einem KI-Assistenten verbinden. Der Assistent ruft dann im Auftrag des Mitglieds und nur mit dessen Rechten Tickets ab oder ändert sie; Änderungen sind im Aktivitätsprotokoll als „via Claude“ gekennzeichnet. Die Daten, die der Assistent abruft, verarbeitet dessen Anbieter (z. B. Anthropic) nach eigenen Bedingungen; über diese Nutzung entscheidet das Unternehmen, dem der Workspace gehört. Die Verbindung lässt sich jederzeit unter „Mit Claude verbinden“ trennen.

7. Cookies und Speicher im Browser

Wir setzen ausschließlich Cookies, die für den Dienst unbedingt erforderlich sind, und nutzen weder Local Storage noch Session Storage noch IndexedDB. Vollständige Liste:

Alle Cookies gelten nur für inhouseticket.com, werden im Betrieb nur verschlüsselt übertragen (Secure; die Anmelde-Cookies tragen dort das Präfix __Secure-) und nicht an fremde Seiten mitgeschickt (SameSite=Lax). Bis auf iht_optout sind sie für Skripte im Browser nicht lesbar (HttpOnly). Inhalte von Drittanbietern (Schriften, Skripte, Bilder) laden wir nicht.

Warum es keinen Cookie-Banner gibt: Eine Einwilligung ist nur nötig, wenn Informationen auf deinem Gerät gespeichert oder dort ausgelesen werden, die für den von dir gewünschten Dienst nicht unbedingt erforderlich sind (§ 25 Abs. 1 TDDDG). Die Cookies oben sind erforderlich, damit du angemeldet bleibst und deine Wahl (Sprache, Widerspruch gegen die Messung) gilt (§ 25 Abs. 2 Nr. 2 TDDDG). Die Messung nach Abschnitt 5 speichert nichts auf deinem Gerät und liest dort nichts aus; sie beruht auf unserem berechtigten Interesse, und du kannst ihr jederzeit widersprechen.

8. Hosting und E-Mail-Versand

inhouseticket läuft in einem Rechenzentrum in Deutschland bei der Mittwald CM Service GmbH & Co. KG, Königsberger Straße 4–6, 32339 Espelkamp, mit der ein Auftragsverarbeitungsvertrag besteht. Datenbank und E-Mail-Versand (Absender no-reply@inhouseticket.com) laufen ebenfalls dort. Beim Aufruf der Website verarbeitet der Hoster technisch notwendige Verbindungsdaten (z. B. IP-Adresse) zur Auslieferung. Schriftarten werden von unserem eigenen Server geladen, nicht von Drittanbietern.

9. Speicherdauer

Kontodaten und Workspace-Inhalte speichern wir, solange das Konto bzw. der Workspace besteht. Wird ein Mitglied aus einem Workspace entfernt, bleibt die Zuordnung früherer Tickets und Aktivitäten erhalten, damit der Verlauf nachvollziehbar bleibt. Freiwillige Antworten aus der Einrichtung löschen wir mit dem Workspace oder deinem Konto. Offene Registrierungen löschen wir, sobald das Konto bestätigt ist, spätestens aber nach 24 Stunden; nach fünf falschen Passworteingaben oder einer neuen Registrierung für dieselbe Adresse sofort. Sitzungen, Anmeldecodes und Codes zum Zurücksetzen des Passworts werden mit Ablauf ungültig und automatisch gelöscht. Löscht der Besitzer einen Workspace, sind dessen Daten sofort aus der Anwendung entfernt; in Sicherungskopien, die wir zum Schutz vor Datenverlust täglich anlegen, verbleiben sie höchstens 30 Tage. Admins können alle Daten eines Workspace jederzeit exportieren.

10. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO). Schreib uns dazu an hello@inhouseticket.com. Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel beim Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit.