Nootiz

Was Nootiz ist und wie es funktioniert

Nootiz ist ein österreichisches Tool für visuelles Feedback und Annotationen, das für Webteams entwickelt wurde. Ein kleines JavaScript-Widget wird auf einer Staging- oder Produktionswebsite eingebettet; autorisierte Nutzer wie Kundinnen und Kunden, Projektleitende, Designer und Entwickler können an beliebiger Stelle der Seite einen angehefteten Kommentar hinterlassen, der das Element, den Browserkontext und optional einen Screenshot erfasst. Diskussionsstränge, Zuweisungen und Status werden im Nootiz-Dashboard verwaltet, das zur Single Source of Truth für Review-Runden wird. Das Widget ist bewusst schlank und arbeitet neben der bestehenden Website, ohne deren Markup zu verändern.

Daten und Cookies

Nootiz setzt funktionale First-Party-Cookies für die Authentifizierungs-Sitzung des Reviewers, das aktive Projekt, den geöffneten oder minimierten Zustand des Widgets und einen CSRF-Token. Verarbeitet werden Kommentarinhalte, die URL der Annotation, Browser-Metadaten (User-Agent, Viewport, optionaler Screenshot) und die Identität des Reviewers, der den Kommentar verfasst hat. Standardmäßig werden keine Tracking- oder Marketing-Cookies gesetzt. Die betroffenen personenbezogenen Daten stammen überwiegend vom Projektteam und nicht von der breiten Öffentlichkeit, was die Exposition stark begrenzt.

Auswirkungen auf DSGVO und ePrivacy

Da Nootiz auf Reviewer und nicht auf anonyme Besucher abzielt, können die von ihm gesetzten Funktions-Cookies unter die Ausnahme von Artikel 5 Absatz 3 ePrivacy fallen, sobald die Person aktiv im Tool angemeldet ist. Die zugehörige DSGVO-Verarbeitung stützt sich auf das berechtigte Interesse nach Artikel 6 Absatz 1 Buchstabe f (Durchführung und Dokumentation eines Web-Projekts) oder auf die Vertragserfüllung, wenn Nootiz Teil eines Agenturvertrags ist. Wird das Widget Nutzern außerhalb des Projekts angezeigt, ist eine Einwilligung nach Artikel 5 Absatz 3 ePrivacy erforderlich, weil die Cookies für den vom Nutzer gewünschten Dienst nicht mehr unbedingt erforderlich sind.

Datenübermittlungen und EU-Hosting

Nootiz hostet seine Infrastruktur in Österreich und arbeitet innerhalb der Europäischen Union. In der Standardkonfiguration gibt es keine Drittlandübermittlungen, was die mit US-amerikanischen Collaboration-Tools verbundene Schrems-II-Problematik beseitigt. Der Auftragsverarbeitungsvertrag sollte dennoch hinsichtlich Unterauftragnehmern (E-Mail-Versand, Error-Monitoring, Datei-Speicher) geprüft werden, doch auch diese sind typischerweise EU-basiert oder DPF-zertifiziert. EU-Hosting ist eines der stärksten Compliance-Argumente für Nootiz gegenüber vergleichbaren US-Werkzeugen.

Einwilligung, DSFA und Screenshots

Eine vollständige DSFA nach Artikel 35 ist in der Regel nicht erforderlich, wenn Nootiz in einer Staging-Umgebung mit einem überschaubaren Reviewer-Team eingesetzt wird. Anders sieht es aus, wenn das Widget Screenshots von Seiten erstellt, die echte personenbezogene Daten enthalten, etwa Dashboards mit Kundendatensätzen: Solche Screenshots sind selbst personenbezogene Daten und dürfen nur so lange wie nötig aufbewahrt werden, mit dokumentierten Zugriffskontrollen. In diesem Fall ist eine kurze, auf Screenshots und Zugriffskontrollen fokussierte DSFA angemessen; ein Consent-Banner ist nicht zwingend erforderlich, sofern das Widget auf entsprechend informierte Mitarbeiterinnen und Mitarbeiter beschränkt bleibt.

Praktische Umsetzungsschritte

Laden Sie das Nootiz-Widget nur auf Staging oder hinter einer Authentifizierung; entfernen Sie es aus der öffentlichen Produktion, sofern kein Business Case dagegen spricht; dokumentieren Sie den Auftragsverarbeitungsvertrag mit der Nootiz GmbH und führen Sie ihn im Verarbeitungsverzeichnis; erwähnen Sie Nootiz in der internen Datenschutzinformation für Reviewer und Kunden; legen Sie sinnvolle Speicherfristen für abgeschlossene Annotationen und Screenshots fest; und überprüfen Sie die Unterauftragnehmerliste jährlich. Diese Schritte halten den Compliance-Aufwand für ein risikoarmes Tool minimal.