Liegen Firmen-Zugangsdaten auf dem Server?

Nein, weder für Jira noch für GitLab. tsk sync jira und tsk sync gitlab holen die Tickets auf Deinem eigenen Rechner, mit der Anmeldung der jira-cli und Deinem angemeldeten glab, und schicken nur die Ticketliste an tasks. Das Firmen-Token geht nur an den Jira- oder GitLab-Server Deiner Firma, nie an unseren, und unser Server ruft weder Jira noch GitLab auf. Deshalb muss keine Administration eine fremde App freigeben, und es klappt auch hinter dem VPN. Für einen Zeitplan legt tsk login --scope sync ein eigenes Token an, das nur abgleichen darf. Beschreibungen, Kommentare und Anhänge externer Tickets schickt tsk nie. Wenn nötig, zeigt ein Arbeitsbereich statt der Titel nur die Ticketnummern; die Titel verlassen Deinen Laptop dann gar nicht.

Wer sieht die Aufgaben in meinen Arbeitsbereichen?

Nur die Mitglieder des jeweiligen Arbeitsbereichs. Jeder Arbeitsbereich ist eine eigene Datenschutzgrenze, die direkt in der Datenbank durchgesetzt wird. Wer zu Deinem Familienbereich gehört, sieht nichts von Deinen Arbeitsbereichen und umgekehrt. Dein Eingang gehört nur Dir und lässt sich nicht teilen. Auch Zugriffstoken und Kalender-Abos kannst Du auf einzelne Arbeitsbereiche beschränken.

Firmenaufgaben in der privaten To-do-App?

Am Montagmorgen stehen fünf Jira-Tickets auf Deinem Namen, am Nachmittag ruft die Schule an, und am Abend fällt Dir ein, dass die Autoversicherung bis Ende Monat gekündigt sein muss. Drei Listen, drei Orte, keine Übersicht. Der naheliegende Gedanke: alles in eine private To-do-App. Bei den Jira-Tickets lohnt es sich aber, kurz innezuhalten.

Dieser Artikel ist keine Rechtsberatung. Massgeblich sind die Regeln Deines Arbeitgebers; im Zweifel fragst Du Deine IT oder die Datenschutzverantwortlichen.

Was Arbeitgeber-Richtlinien meistens regeln

Richtlinien zur IT-Nutzung unterscheiden sich von Firma zu Firma. Drei Punkte tauchen aber in fast allen auf:

Zugangsdaten bleiben in der Firma. API-Tokens, Passwörter und Zugänge zu Firmensystemen dürfen nicht in Dienste eingetragen werden, die die Firma nicht freigegeben hat. Ein Token für Jira in einer fremden App ist genau das.
Inhalte bleiben in freigegebenen Diensten. Ticket-Titel, Beschreibungen und Kommentare enthalten oft Kundennamen, Projektnamen oder Sicherheitsthemen. Sie in einen privaten Dienst zu kopieren, ist meist untersagt.
Keine Schatten-IT. Software, die ohne Wissen der IT Firmendaten verarbeitet, nennt man Schatten-IT. Sie ist ein Risiko, weil niemand weiss, wo die Daten liegen und wer sie sieht.

Dahinter stehen nicht nur interne Regeln. In der Schweiz verpflichtet das Obligationenrecht Arbeitnehmende, Geschäftsgeheimnisse vertraulich zu behandeln (Art. 321a Abs. 4 OR). Stehen in einem Ticket Personendaten von Kundinnen und Kunden, gilt zudem das Datenschutzgesetz (DSG), in der EU die DSGVO.

Welche Daten heikel sind

Nicht jedes Detail eines Tickets ist gleich sensibel. Eine grobe Einteilung hilft:

Daten	Heikel?	Warum
Zugangsdaten (API-Token, Passwort)	sehr	Wer sie hat, sieht alles, was Du siehst
Beschreibung, Kommentare, Anhänge	sehr	Kundendaten, Code, Sicherheitslücken
Titel	oft	«Datenleck bei Kunde X beheben» verrät viel
Schlüssel (`PROJ-123`), Fälligkeit, Status	kaum	Ohne Zugang zu Jira nichtssagend

Die Faustregel: Je weniger von einem Ticket ausserhalb der Firma liegt, desto besser. Der Schlüssel und das Fälligkeitsdatum reichen oft, um zu wissen, dass am Donnerstag etwas fällig ist.

Wie tasks damit umgeht

tasks ist so gebaut, dass Du Firmen-Tickets in Deiner Übersicht siehst, ohne die drei Punkte oben zu verletzen:

Das Firmen-Token bleibt auf Deinem Laptop. Jira-Tickets holt tsk sync jira auf Deinem Rechner mit der Anmeldung ab, die die jira-cli dort schon gespeichert hat, und schickt nur die Tickets, die Dir zugewiesen sind. Der Server von tasks speichert kein Jira-Token und ruft Jira nie selbst auf.
Beschreibungen, Kommentare und Anhänge kommen nie mit. tasks übernimmt nur Titel, Fälligkeit, Status und Zuweisung, und nur zum Lesen.
Schlüssel statt Titel. Blendest Du für einen Arbeitsbereich die Titel externer Tickets aus, zeigt tasks überall nur PROJ-123, auch im Kalender-Abo, in Mitteilungen und über MCP, und speichert den Titel gar nicht erst.
Ein Arbeitsbereich pro Arbeitgeber. Jeder Arbeitsbereich ist eine Datenschutzgrenze, in der Datenbank durchgesetzt. Deine Familie sieht nichts davon, und Du siehst trotzdem alles in einer Übersicht.

GitLab nimmt denselben Weg: tsk sync gitlab fragt Dein angemeldetes glab nach Deinen Issues und Merge Requests, also landet auch kein GitLab-Token auf dem Server von tasks. Mehr dazu auf der Seite Jira und GitLab.

Und die restlichen Daten?

Auch ein Schlüssel und ein Datum sind Daten über Deine Arbeit. tasks ist ein Dienst der Squibble GmbH, eines Schweizer Anbieters; die Server stehen bei Hetzner in Deutschland, die Anmeldung läuft über WorkOS (USA, Standardvertragsklauseln). Werbetracker gibt es keine. Die Einzelheiten stehen auf der Seite Datenschutz und Hosting.

Wenn Deine Firma auch Schlüssel und Fälligkeiten nicht ausserhalb sehen will, ist die Antwort einfach: Dann bleiben die Tickets in Jira, und tasks verwaltet den Rest Deines Lebens. Die Trennung nach Arbeitsbereichen zeigt die Seite Arbeit und Familie trennen.

So fängst Du an

Lies die IT-Richtlinie Deines Arbeitgebers oder frag nach, was ausserhalb liegen darf.
Lege in tasks einen eigenen Arbeitsbereich für diesen Arbeitgeber an und blende die Titel externer Tickets aus, wenn sie heikel sind.
Installiere tsk auf Deinem Laptop; die Anleitung tsk installieren und anmelden zeigt Download, Prüfsumme und Anmeldung.

Fazit

Eine Übersicht über Arbeit und Privates ist kein Widerspruch zu den Regeln Deines Arbeitgebers, solange Zugangsdaten und Inhalte in der Firma bleiben. Was nach draussen geht, sollte so wenig wie möglich sein: ein Schlüssel, ein Datum, ein Status.

Tickets, die Dir zugewiesen sind, erscheinen neben Deinen eigenen Aufgaben, mit Ticketnummer, Herkunft und einem Link zum Original. tsk sync gitlab und tsk sync jira lesen sie auf Deinem Laptop, GitLab über Dein angemeldetes glab, Jira mit der gespeicherten Anmeldung der jira-cli, und schicken sie an tasks. Von GitLab kommen auch die Merge-Requests, die auf Dein Review warten. Aktuell ist, was Du zuletzt geschickt hast: einmalig, mit --watch 10m oder per Zeitplan.

Welches Projekt in welchem Arbeitsbereich landet, legst Du einmal mit tsk sync gitlab setup oder tsk sync jira setup fest. Projekte ohne Zuordnung schickt tsk nicht, nennt sie aber nach jedem Abgleich.

Titel, Fälligkeit und Status bleiben schreibgeschützt und folgen dem Original. Priorität, Schlagwörter, Kategorie, Startdatum und eine Notiz setzt Du in tasks selbst; sie bleiben bei jedem Abgleich erhalten. Kürzlich geschlossene Tickets erscheinen als erledigt oder abgebrochen und wandern danach ins Archiv.