Datenschutzerklärung

Geltungsbereich des Angebots

Der Bibertron Baubegleiter ist ein an Unternehmer gerichteter digitaler Dienst. Vertragspartner sind natürliche oder juristische Personen beziehungsweise rechtsfähige Personengesellschaften, die den Dienst zu gewerblichen oder selbstständigen beruflichen Zwecken nutzen. Eine Nutzung durch Verbraucher ist nicht vorgesehen.

Im Rahmen der Nutzung können personenbezogene Daten von Ansprechpartnern, Beschäftigten, Nachunternehmern, Bauherren und sonstigen Projektbeteiligten verarbeitet werden. Für die Verarbeitung der Projektinhalte ist grundsätzlich der jeweilige Kunde Verantwortlicher; Bibertron verarbeitet diese Inhalte als Auftragsverarbeiter nach Art. 28 DSGVO. Für den Betrieb des Dienstes, Nutzerkonten, Zugriffsprotokolle, Korrespondenz und Abrechnung ist Bibertron selbst Verantwortlicher.

1 Wir als Verantwortliche

Für den Betrieb der Anwendung, den Dienst, Nutzerkonten, die Zugriffsprotokolle, unsere Korrespondenz mit Ihnen und die Abrechnung sind wir selbst verantwortlich im Sinne des Art. 4 Nr. 7 DSGVO. Das betrifft die in Teil B beschriebenen Verarbeitungen.

Bibertron UG (haftungsbeschränkt), vertreten durch die Geschäftsführerin Beata Krenzer, Am Haag 8, 82166 Gräfelfing, E-Mail: E-Mail-Adresse anzeigen

2 Der Kunde als Verantwortlicher, wir als Auftragsverarbeiter

Der Kunde ist der gewerblich beziehungsweise beruflich handelnde Vertragspartner, der den Baubegleiter gebucht und das jeweilige Bauprojekt angelegt hat. Die Inhalte der Bauprojekte stellt der Kunde ein. Für diese Inhalte ist der Kunde der Verantwortliche. Die von ihm autorisierten Nutzer und die sonstigen eingeladenen Projektbeteiligten können im Rahmen ihrer jeweiligen Rolle auf die Projektinhalte zugreifen. Wir verarbeiten die Projektinhalte ausschließlich im Auftrag des Kunden und nach seinen Weisungen auf Grundlage eines Vertrages nach Art. 28 DSGVO. Das betrifft die in Teil C beschriebenen Verarbeitungen.

Wenn Sie als Nutzer oder als Projektbeteiligter, insbesondere als Beschäftigter, freier Mitarbeiter, Nachunternehmer oder Bauherr, zu einem Projekt eingeladen wurden und Auskunft über Ihre dort gespeicherten Daten wünschen oder deren Löschung verlangen, richten Sie Ihre Anfrage bitte an den Kunden, der Sie eingeladen hat. Wir dürfen diese Daten nicht eigenmächtig herausgeben oder löschen. Erreichen uns solche Anfragen direkt, leiten wir sie an den Kunden weiter und informieren Sie darüber. Die Beschränkung unseres Angebots auf Unternehmer schränkt die Betroffenenrechte natürlicher Personen nicht ein.

3 Datenschutzbeauftragter

Wir sind gesetzlich nicht verpflichtet, einen Datenschutzbeauftragten zu benennen (§ 38 BDSG). Für alle Anliegen zum Datenschutz erreichen Sie uns unter E-Mail-Adresse anzeigen.

B1 Hosting und Speicherort

Die Anwendung und die darin gespeicherten Daten werden bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, in einem Rechenzentrum in Nürnberg betrieben. Es besteht ein Vertrag über Auftragsverarbeitung nach Art. 28 DSGVO. Eine Übermittlung dieser Daten in Drittländer findet im Rahmen des Hostings nicht statt.

Wir erstellen täglich um 2:30 Uhr Sicherungskopien. Sie werden vor der Übertragung mit AES-256 verschlüsselt und auf einem Sicherungsspeicher desselben Anbieters mit Standort in Deutschland abgelegt; unverschlüsselte Daten erreichen diesen Speicher zu keinem Zeitpunkt. Sicherungskopien bewahren wir 30 Tage auf.

Von der Verarbeitung in Deutschland zu unterscheiden sind einzelne Funktionen, bei denen einzelne Inhalte an Dienstleister außerhalb Deutschlands übermittelt werden. Diese sind unter B5, C3 und C4 beschrieben.

B2 Zugriffsdaten

Beim Aufruf der Anwendung erheben wir technische Daten (IP-Adresse, Browser-Typ, Zeitpunkt des Zugriffs) zur Sicherstellung des Betriebs und zur Abwehr von Angriffen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im sicheren und störungsfreien Betrieb. Diese Daten werden nach 7 Tagen gelöscht.

Davon zu unterscheiden ist die Prüfspur innerhalb der Projekte, die festhält, wer wann einen Projektinhalt angelegt, geändert oder gelöscht hat. Diese Daten gehören zu den Projektinhalten und damit zu Teil C; für sie ist der jeweilige Kunde verantwortlich.

B3 Cookies und Speicherung auf Ihrer Endeinrichtung

Wir setzen ausschließlich technisch notwendige Cookies für Anmeldung und Sitzungsverwaltung ein. Die Speicherung auf Ihrer Endeinrichtung und der Zugriff darauf sind nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei, weil sie für die Bereitstellung des von Ihnen ausdrücklich gewünschten Dienstes unbedingt erforderlich sind. Rechtsgrundlage der anschließenden Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO. Es findet kein Tracking statt, es werden keine Werbe- oder Analyse-Cookies gesetzt und keine Inhalte Dritter nachgeladen. Eine Einwilligung ist daher nicht erforderlich. Für Push-Benachrichtigungen gilt B5.

B4 Nutzerkonto

Für die Nutzung legen wir für den Kunden sowie für die von ihm autorisierten Nutzer und die eingeladenen Projektbeteiligten Konten an. Verarbeitet werden Name, E-Mail-Adresse, Rolle im Projekt sowie die Firmenzugehörigkeit. Bei der Registrierung des Kunden werden außerdem die Rechtsform, die Umsatzsteuer-Identifikationsnummer oder die Steuernummer sowie die Bestätigung verarbeitet, dass der Kunde den Dienst unternehmerisch beziehungsweise geschäftlich und nicht als Verbraucher nutzt. Die Anmeldung erfolgt über ein Passwort oder einen per E-Mail zugesandten Anmeldelink. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei unserem Kunden als gewerblich beziehungsweise beruflich handelndem Vertragspartner und Art. 6 Abs. 1 lit. f DSGVO bei Nutzern und Projektbeteiligten, die von einem Kunden eingeladen oder autorisiert wurden; unser berechtigtes Interesse liegt darin, den vertraglich geschuldeten Mehrbenutzerbetrieb zu ermöglichen.

Die Angabe von Name und E-Mail-Adresse ist für den Vertragsschluss und die Nutzung erforderlich. Die Angaben zur Rechtsform, zur Umsatzsteuer-Identifikationsnummer oder Steuernummer und zur Bestätigung des unternehmerischen Handelns werden benötigt, um die vorgesehene B2B-Nutzung einzuordnen und die Registrierung nach den geltenden AGB durchführen zu können. Ohne die erforderlichen Angaben können wir kein Konto anlegen oder den Vertrag nicht erfüllen. Eine gesetzliche Pflicht zur Bereitstellung besteht nicht.

Kontodaten der Kunden löschen wir sechs Monate nach Ende des Vertragsverhältnisses. Hat der Kunde eine Aufbewahrung der Projektdaten mit Lesezugriff nach Ziffer 10 Absatz 5 der Allgemeinen Geschäftsbedingungen gewählt, halten wir die zur Anmeldung erforderlichen Kontodaten für die Dauer dieses Lesezugriffs vor und löschen sie erst zusammen mit den Projektdaten. Konten von Nutzern und Projektbeteiligten löschen wir sechs Monate nach der letzten Anmeldung, wenn keine Projektzuordnung mehr besteht. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

B4a Bot- und Missbrauchsschutz

Zum Schutz unserer Anwendung vor automatisierten Zugriffen und missbräuchlichen Registrierungen setzen wir im Rahmen der Registrierung einen Bot-Schutzdienst von Cloudflare ein. Dabei werden insbesondere die IP-Adresse des Nutzers sowie technische Prüfdaten an Cloudflare übermittelt. Die Prüfung findet ausschließlich im Rahmen des Registrierungsvorgangs statt.

Anbieter ist Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA. Die Datenübertragung erfolgt TLS-verschlüsselt.

Rechtsgrundlage für die Verarbeitung ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht darin, unsere Anwendung vor automatisierten Zugriffen, missbräuchlichen Registrierungen und Angriffen zu schützen und die Sicherheit unseres Dienstes zu gewährleisten.

Cloudflare wird als Auftragsverarbeiter eingesetzt. Es besteht eine Vereinbarung über die Auftragsverarbeitung gemäß Art. 28 DSGVO.

Soweit personenbezogene Daten in die USA oder andere Drittländer übermittelt werden, erfolgt die Übermittlung auf Grundlage der anwendbaren EU-Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO.

Weitere Informationen zur Datenverarbeitung durch Cloudflare finden Sie in den Datenschutzhinweisen von Cloudflare: https://www.cloudflare.com/de-de/application/privacypolicy/.

B5 Benachrichtigungen

Wir versenden E-Mail-Benachrichtigungen zu Projektereignissen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Der technische Versand erfolgt über die Brevo SAS, 106 Boulevard Haussmann, 75008 Paris, Frankreich. Es besteht ein Vertrag über Auftragsverarbeitung nach Art. 28 DSGVO. Die Verarbeitung erfolgt auf Servern innerhalb der Europäischen Union. Zu den dort geltenden Aufbewahrungsfristen für Versandprotokolle erteilen wir Ihnen auf Anfrage Auskunft.

Haben Sie Push-Benachrichtigungen im Browser erlaubt, speichern wir eine technische Kennung Ihres Browsers, um Mitteilungen zustellen zu können. Den Versand lösen wir über unseren eigenen Server nach dem Web-Push-Standard aus. Die Weiterleitung an Ihren Browser läuft technisch über den Push-Dienst Ihres Browserherstellers; der Inhalt der Nachricht ist dabei Ende-zu-Ende verschlüsselt und für diesen nicht lesbar. Rechtsgrundlage für das Speichern der Kennung auf Ihrer Endeinrichtung ist Ihre Einwilligung nach § 25 Abs. 1 TDDDG, für die anschließende Verarbeitung Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Die Erlaubnis lässt sich jederzeit im Browser widerrufen.

B6 Korrespondenz

Wenden Sie sich per E-Mail an uns, verarbeiten wir Ihre Angaben zur Bearbeitung Ihres Anliegens. Website-, Kontakt- und E-Mail-Verarbeitungen können auch vor oder außerhalb eines konkreten B2B-Vertragsverhältnisses stattfinden; sie sind daher nicht auf Kunden, Nutzer oder sonstige Vertragspartner beschränkt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei vertragsbezogenen Anliegen und im Übrigen Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Beantwortung von Anfragen. Unser Postfach betreiben wir über Google Workspace (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Es besteht ein Vertrag über Auftragsverarbeitung in Gestalt des Cloud Data Processing Addendum. Eine Verarbeitung findet auch auf Servern in den Vereinigten Staaten statt; sie stützt sich auf die EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Korrespondenz löschen wir zwei Jahre nach Abschluss des Vorgangs, soweit keine gesetzliche Aufbewahrungspflicht besteht.

B7 Zahlungsabwicklung

Die Bezahlung erfolgt über Mollie (Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Niederlande). Mollie verarbeitet Ihre Zahlungsdaten in eigener Verantwortung; vollständige Zahlungsdaten wie Kartennummern erreichen uns nicht. Rechtsgrundlage für die Übermittlung der zur Abwicklung erforderlichen Angaben ist Art. 6 Abs. 1 lit. b DSGVO. Die bei uns gespeicherten Zahlungsreferenzen löschen wir mit Ablauf der Aufbewahrungsfrist nach B8. Datenschutzerklärung des Anbieters: mollie.com/de/privacy.

B8 Rechnungen und gesetzliche Aufbewahrung

Rechnungen und Buchungsbelege bewahren wir acht Jahre auf. Die Frist beginnt mit dem Schluss des Kalenderjahres, in dem der Beleg entstanden ist. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 Abs. 1 Nr. 4, Abs. 3 Satz 1 AO, § 257 Abs. 1 Nr. 4, Abs. 4 HGB und § 14b Abs. 1 Satz 1 UStG. Für Unterlagen, für die eine längere gesetzliche Frist gilt, insbesondere Jahresabschlüsse, beträgt die Aufbewahrung zehn Jahre.

B9 Widerrufs- und Kündigungsfunktion

Auf unserer Website stellen wir für Kündigungen von B2B-Verträgen eine Kündigungsschaltfläche bereit. Nutzen Sie diese Funktion, verarbeiten wir die von Ihnen eingegebenen Angaben zur Identifizierung Ihres Vertrages, zur Bearbeitung Ihrer Erklärung und zur Erstellung der Eingangsbestätigung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO, da wir zur Bereitstellung dieser Funktionen gesetzlich verpflichtet sind, sowie Art. 6 Abs. 1 lit. b DSGVO für die Abwicklung des Vertragsverhältnisses. Die Erklärung und die Eingangsbestätigung bewahren wir zum Nachweis für drei Jahre ab dem Schluss des Jahres auf, in dem die Erklärung zugegangen ist.

C1 Projektdaten

Im Rahmen der Bauprojektbegleitung verarbeiten wir die eingegebenen Inhalte: Bauvorhaben und Anschrift, Beteiligte und deren Rollen, Termine, Bautagebuch-Einträge, Mängel, Aufgaben, Behinderungsanzeigen, Dokumente sowie Nachrichten in den Projekt-Chaträumen. Projektbeteiligte können insbesondere Beschäftigte, freie Mitarbeiter, Nachunternehmer, Bauherren und sonstige für den Kunden tätige oder an einem Bauprojekt beteiligte natürliche Personen sein. Dazu gehört auch die Prüfspur, die festhält, wer wann einen Projektinhalt angelegt, geändert oder gelöscht hat. Diese Daten sind für die am Projekt Beteiligten im Rahmen ihrer jeweiligen Rolle sichtbar.

C2 Fotos und Unterschriften

Zu Mängeln und Bautagebuch-Einträgen können Fotos hochgeladen werden. Sind darauf Personen erkennbar, werden auch deren Daten verarbeitet. Der einstellende Kunde ist dafür verantwortlich, dass er zur Verarbeitung berechtigt ist.

Zur Bestätigung von Einträgen kann eine handschriftliche Unterschrift erfasst werden. Sie wird als Bild gespeichert; eine Auswertung biometrischer Merkmale wie Druck oder Geschwindigkeit findet nicht statt. Es handelt sich daher nicht um biometrische Daten im Sinne des Art. 9 DSGVO.

C3 KI-gestützte Analyse von Mängelfotos

Zur Unterstützung bei der Erfassung und Bearbeitung von Mängeln kann das jeweilige Mängelfoto an Anthropic PBC, USA („Anthropic“), übermittelt und dort automatisiert analysiert werden. Die Analyse dient insbesondere der Vorklassifizierung nach Art und Schweregrad des Mangels sowie der Erstellung eines Beschreibungsvorschlags.

Anthropic wird hierbei als Unterauftragsverarbeiter eingesetzt. Die Verarbeitung erfolgt auf Grundlage der mit Anthropic bestehenden Vereinbarungen zur Auftragsverarbeitung. Soweit personenbezogene Daten in die Vereinigten Staaten oder sonstige Drittländer übermittelt werden, erfolgt die Übermittlung auf Grundlage der anwendbaren EU-Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO.

Nach den für den eingesetzten Dienst geltenden Bedingungen werden die übermittelten Inhalte nicht zum Training der KI-Modelle verwendet. Die übermittelten Inhalte werden beim Anbieter grundsätzlich für bis zu 30 Tage gespeichert und anschließend gelöscht, soweit keine abweichende vertragliche Regelung oder gesetzliche Aufbewahrungspflicht besteht.

Die KI-Analyse dient ausschließlich der Unterstützung der Projektbeteiligten. Die erzeugte Klassifizierung und der Beschreibungsvorschlag können von den zuständigen Projektbeteiligten geprüft, geändert oder verworfen werden. Die KI trifft keine Entscheidung gegenüber einer natürlichen Person, die rechtliche Wirkung entfaltet oder sie in ähnlich erheblicher Weise beeinträchtigt. Eine automatisierte Entscheidung im Sinne des Art. 22 DSGVO findet daher im Rahmen dieser Funktion nicht statt.

Weitere Informationen zur Datenverarbeitung durch Anthropic finden Sie in den Datenschutzhinweisen von Anthropic: Datenschutzerklärung des Anbieters: anthropic.com/privacy.

C4 Spracheingabe

Bautagebuch-Einträge können optional per Spracheingabe erfasst werden. Hierzu wird die Sprachaufnahme zur automatisierten Umwandlung in Text an OpenAI Ireland Ltd., Dublin, Irland („OpenAI“), übermittelt. OpenAI wird hierbei als Unterauftragsverarbeiter eingesetzt. Es bestehen die erforderlichen Vereinbarungen zur Auftragsverarbeitung gemäß Art. 28 DSGVO.

Nach den für die eingesetzte API geltenden Bedingungen werden die übermittelten Inhalte nicht zum Training der Modelle von OpenAI verwendet.

OpenAI setzt zur Bereitstellung seiner Dienste weitere Unterauftragsverarbeiter ein. Soweit dabei personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums in einem Drittland verarbeitet werden, für das kein Angemessenheitsbeschluss der Europäischen Kommission besteht, erfolgt die Übermittlung auf Grundlage geeigneter Garantien, insbesondere der EU-Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO.

Bei der standardmäßigen Nutzung der OpenAI API können übermittelte Inhalte für Zwecke der Missbrauchsüberwachung grundsätzlich bis zu 30 Tage gespeichert und anschließend gelöscht werden, soweit keine längere Speicherung gesetzlich erforderlich ist. Soweit für die konkret eingesetzte API-Konfiguration abweichende Einstellungen zur Datenaufbewahrung, insbesondere Zero Data Retention, aktiviert sind, gelten die hierfür vorgesehenen kürzeren Speicherfristen.

Die Spracheingabe ist optional. Alternativ können Bautagebuch-Einträge ohne Nutzung der Sprachfunktion unmittelbar als Text eingegeben werden.

Sprachaufnahmen können auch Stimmen oder Äußerungen anwesender Dritter enthalten. Der Kunde ist als Verantwortlicher dafür verantwortlich, dass für die Aufnahme und Verarbeitung personenbezogener Daten Dritter eine datenschutzrechtliche Rechtsgrundlage besteht und die betroffenen Personen die erforderlichen Informationen über die Verarbeitung erhalten.

Weitere Informationen zur Datenverarbeitung durch OpenAI finden Sie in den Datenschutzhinweisen von OpenAI: OpenAI Privacy Policy.

C5 Wetterdaten

Für die Wetterdokumentation im Bautagebuch rufen wir allgemeine Vorhersagedaten des Deutschen Wetterdienstes (DWD) über dessen öffentlichen Open-Data-Server ab und gleichen sie auf unseren eigenen Servern mit der Koordinate des jeweiligen Bauvorhabens ab. An den Deutschen Wetterdienst übermitteln wir dabei keine Koordinaten oder sonstigen personenbezogenen Daten; der Abgleich findet ausschließlich innerhalb unserer eigenen Infrastruktur statt. Datenquelle: Deutscher Wetterdienst (DWD), Offenbach am Main, Quellenangabe entsprechend der Lizenz CC BY 4.0.

C6 Speicherdauer der Projektdaten

Projektdaten speichern wir für die Dauer des Vertragsverhältnisses mit unserem Kunden. Nach Vertragsende kann der Kunde innerhalb von drei Monaten die technisch exportierbaren Projektdaten exportieren. Während dieses Zeitraums ist ein lesender Zugriff auf die bestehenden Projekte möglich; neue Projekte können nicht angelegt und bestehende Projekte nicht bearbeitet werden.

Der Kunde kann uns bei Vertragsschluss oder jederzeit danach in Textform anweisen, die Projektdaten nach Vertragsende für zehn Jahre aufzubewahren und für ihn lesend abrufbar zu halten. Die Weisung setzt ein eigenes rechtliches oder wirtschaftliches Interesse des Kunden voraus, das der Kunde mit der Weisung bestätigt. Der Kunde kann eine erteilte Weisung jederzeit widerrufen und eine frühere Löschung verlangen.

Wir können den Lesezugriff außerdem dadurch ablösen, dass wir dem Kunden den vollständigen Datenbestand in einem strukturierten, gängigen und maschinenlesbaren Format bereitstellen. Drei Monate nach der Bereitstellung löschen wir die Daten. Ohne Weisung zur verlängerten Aufbewahrung löschen wir die Projektdaten grundsätzlich drei Monate nach Ende des Vertragsverhältnisses. Daten aus einer nicht fortgeführten Testphase werden 60 Tage nach der Registrierung gelöscht, also mit Ablauf des 30-tägigen lesenden Zugriffs. Gesetzliche Aufbewahrungspflichten bleiben unberührt.