Datenschutzinformation für Bauzettel

Verantwortlicher

Zweck der App

Bauzettel unterstützt Handwerksbetriebe bei Aufträgen, Kontakten, Planung, Baustellendokumentation, Arbeitszeiten, Aufmaßen, Dokumenten und Abrechnung. Welche Daten verarbeitet werden, hängt von den im jeweiligen Betrieb aktivierten Funktionen und den Eingaben berechtigter Nutzer ab.

Datenschutzbeauftragter

Als externer Datenschutzbeauftragter ist die frag.hugo Informationssicherheit GmbH, Spaldingstraße 64–68, 20097 Hamburg, benannt. Anfragen zum Datenschutz und an den Datenschutzbeauftragten können an support@bauzettel.de gerichtet werden und werden bei Bedarf an ihn weitergeleitet.

Verarbeitete Daten

• Konto- und Unternehmenszuordnung, Name, geschäftliche Kontaktdaten und Rolle
• Kunden-, Projekt-, Termin-, Dokument-, Rechnungs- und Kommunikationsdaten
• Arbeitszeiten, Abwesenheiten und Einsatzzuordnungen; die Abwesenheitsart „Krank“ ist ein Gesundheitsdatum im Sinne von Art. 9 DSGVO
• Freiwillig aufgenommene Fotos, Dateien, Aufmaße, Berichte und Signaturen
• Technisch notwendige Sicherheits-, Sitzungs-, Geräte- und Fehlerdaten

Die Apps und die Website enthalten keine Werbe-, Tracking- oder Analyse-Dienste und keine entsprechenden SDKs. Es werden nur technisch notwendige Cookies für Anmeldesitzung, Angriffsschutz sowie zeitlich begrenzte Dokumentfreigaben und Signaturvorgänge gesetzt; eine Web-Sitzung endet spätestens nach acht Stunden. Die Apps erheben keinen Gerätestandort; Baustellenadressen werden manuell eingegeben. Push-Benachrichtigungen über Apple- oder Google-Dienste werden derzeit nicht versendet.

Zwecke der Verarbeitung

• Bereitstellung und Absicherung des Unternehmenskontos
• Synchronisation zwischen Büro, Baustelle und mobilen Geräten
• Durchführung, Dokumentation und Abrechnung betrieblicher Aufträge
• Offline-Nutzung und spätere konfliktgeschützte Synchronisation
• Support, Missbrauchsprävention und gesetzlich erforderliche Nachweise

Rollen und Rechtsgrundlagen

Inhaltsdaten, die ein Betrieb über seine Kunden, Beschäftigten und Projekte einträgt, verarbeitet Bauzettel als Auftragsverarbeiter nach Art. 28 DSGVO ausschließlich nach Weisung des jeweiligen Betriebs. Datenschutzrechtlich verantwortlich für diese Inhaltsdaten ist der Betrieb; er stützt sich insbesondere auf Art. 6 Abs. 1 lit. b, c und f DSGVO sowie für Beschäftigtendaten auf § 26 BDSG.

Für die Abwesenheitsart „Krank“ muss der jeweilige Betrieb als Verantwortlicher zusätzlich eine Ausnahme vom Verbot des Art. 9 Abs. 1 DSGVO nachweisen, insbesondere Art. 9 Abs. 2 lit. b DSGVO in Verbindung mit § 26 Abs. 3 BDSG, die Erforderlichkeit prüfen und den Zugriff besonders beschränken.

Soweit der oben genannte Verantwortliche Daten für den eigenen Plattformbetrieb verarbeitet — Unternehmenskonten, Anmeldung, Support, Sicherheit und Abrechnung des Vertrags —, sind die Rechtsgrundlagen Art. 6 Abs. 1 lit. b DSGVO (Vertrag und vorvertragliche Maßnahmen), Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Pflichten, insbesondere handels- und steuerrechtliche Aufbewahrung) und Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen). Für Konto-, Anmelde-, Support- und Sicherheitsdaten von Beschäftigten und anderen berechtigten Nutzern, die nicht selbst Vertragspartei sind, ist die Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt in der Erfüllung des Vertrags mit dem jeweiligen Betrieb durch Bereitstellung und Absicherung dieser Nutzerkonten. Art. 6 Abs. 1 lit. b DSGVO gilt, soweit die betroffene Person selbst Vertragspartei ist, etwa als Betriebsinhaber. Konto- und Profildaten von Beschäftigten und anderen berechtigten Nutzern erhalten wir vom jeweiligen Betrieb beziehungsweise dessen Administrator; eine Selbstregistrierung gibt es nicht.

Berechtigte Interessen

Berechtigte Interessen sind die sichere und stabile Bereitstellung der Plattform, die Abwehr von Missbrauch und Angriffen, die Nachvollziehbarkeit sicherheitsrelevanter Vorgänge sowie die Geltendmachung und Abwehr von Rechtsansprüchen.

Empfänger und Auftragsverarbeiter

Daten werden an die unten genannten technischen Dienstleister sowie an Behörden weitergegeben, wenn eine gesetzliche Pflicht besteht. Der Versand betrieblicher E-Mails und Dokumente läuft über das E-Mail-Konto, das der jeweilige Betrieb selbst angebunden hat. Ein automatischer E-Mail-Import für Eingangsrechnungen über einen externen E-Mail-Dienst ist derzeit nicht angebunden; wird er künftig eingesetzt, geschieht das nur mit Auftragsverarbeitungsvertrag, und diese Datenschutzinformation wird vorher um den Dienst und etwaige Drittlandübermittlungen ergänzt. Ein Verkauf von Daten oder eine Weitergabe zu Werbezwecken findet nicht statt.

Wenn ein Nutzer ausdrücklich „Navigation“ auswählt, übergibt iOS die gewählte Baustellenadresse an Google Maps; Android übergibt sie an die vom Nutzer gewählte externe Karten-App. Dabei gelten zusätzlich die Datenschutzbedingungen des jeweiligen Kartenanbieters. Ohne diese Aktion findet keine Adressübermittlung an einen Kartendienst statt.

Eingesetzte Anbieter

• Amazon Web Services (Amazon Web Services EMEA SARL, Luxemburg) — Betrieb der öffentlichen Informationsseiten unter bauzettel.de sowie der Produkt-Webanwendung, der Programmierschnittstelle und der internen PostgreSQL-Datenbank unter app.bauzettel.de auf einem Server in der Region Frankfurt (eu-central-1, Deutschland).
• ZITADEL Cloud (Zitadel, Inc., USA) — Anmeldung und Identitätsverwaltung; die Instanz liegt in einer EU-Hosting-Region (eu1).
• Supabase (Supabase Pte. Ltd., Singapur) — privater, zugriffsgeschützter Dateispeicher für Fotos, Dateien und Dokumente; das Projekt liegt in der AWS-Region Irland (eu-west-1).

Weitere SDKs oder Dienste, insbesondere für Werbung, Tracking, Analytics oder Crash-Reporting, sind nicht eingebunden.

KI-Funktionen

KI-gestützte Funktionen, etwa die Belegerkennung, laufen nur, wenn ein berechtigter Nutzer sie ausdrücklich auslöst. Ergebnisse sind Entwürfe und werden erst nach Prüfung durch den Nutzer übernommen. Derzeit ist kein externer KI-Anbieter angebunden. Wird künftig ein KI-Anbieter eingesetzt, geschieht das nur mit Auftragsverarbeitungsvertrag, ohne Nutzung der Inhalte zum Training und ohne dauerhafte Speicherung beim Anbieter; diese Datenschutzinformation wird vorher aktualisiert.

Drittlandübermittlungen

Die öffentlichen Seiten, die Produkt-Webanwendung und die Programmierschnittstelle laufen auf einem Server in der Region Frankfurt (Deutschland), die Datenbank in der Region Frankfurt, der Dateispeicher in Irland und die Anmeldung in einer EU-Hosting-Region; Vertragspartei für das Hosting ist Amazon Web Services EMEA SARL mit Sitz in Luxemburg (EU). Vertragsparteien in einem Drittland sind Zitadel, Inc. (USA) und Supabase Pte. Ltd. (Singapur). Für diese Übermittlungen gelten die EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO, die Bestandteil des jeweiligen Auftragsverarbeitungsvertrags sind; sie sind in den öffentlich abrufbaren Auftragsverarbeitungsbedingungen der Anbieter einsehbar, und eine Kopie ist auf Anfrage unter support@bauzettel.de erhältlich. Die gewählte EU-Region verhindert nicht jeden administrativen, Support-, Backup- oder Unterauftragnehmerzugriff aus einem Drittland, auch durch die US-Muttergesellschaft eines Anbieters.

Speicherdauer und Löschung

Kontodaten und betriebliche Inhaltsdaten werden für die Dauer der Nutzung beziehungsweise des Vertrags mit dem jeweiligen Betrieb gespeichert. Daten mit gesetzlichen Aufbewahrungspflichten, insbesondere Rechnungs- und Buchungsdaten nach § 257 HGB und § 147 AO, werden für die dort geregelten Fristen von sechs bis zehn Jahren aufbewahrt und danach gelöscht. Server-, Sicherheits- und Fehlerprotokolle werden spätestens nach 90 Tagen gelöscht oder anonymisiert; Protokolle, die zur Aufklärung eines konkreten Sicherheitsvorfalls oder zur Geltendmachung oder Abwehr von Rechtsansprüchen benötigt werden, werden bis zu dessen Abschluss aufbewahrt. Sensible Offline-Inhalte, ausstehende Synchronisationsvorgänge und Caches werden lokal verschlüsselt gespeichert und soweit technisch möglich von Geräte-Backups ausgeschlossen. Eine Abmeldung entfernt Sitzungsdaten; noch nicht synchronisierte Arbeiten können zum Schutz vor Datenverlust verschlüsselt und kontogebunden auf dem Gerät verbleiben. Welche lokalen Daten bei einer Deinstallation verbleiben können, richtet sich zusätzlich nach den Sicherheitsfunktionen des Betriebssystems.

Ihre Rechte

Betroffene haben nach Art. 15 bis 21 DSGVO das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen. Eine erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Für Inhaltsdaten eines Betriebs ist der Betrieb als Verantwortlicher der richtige Ansprechpartner; Anfragen, die dennoch hier eingehen, werden an ihn weitergeleitet oder nach seiner Weisung beantwortet. Kontakt: support@bauzettel.de.

Aufsichtsbehörde

Es besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde. Zuständig für den Verantwortlichen ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf, www.ldi.nrw.de. Betroffene können sich auch an die Aufsichtsbehörde ihres gewöhnlichen Aufenthaltsorts wenden.

Bereitstellung der Daten

Für die Anmeldung sind Konto- und Identitätsdaten erforderlich; ohne sie kann die App nicht genutzt werden. Alle fachlichen Inhalte — Fotos, Dateien, Zeiten, Berichte, Nachrichten — sind freiwillig beziehungsweise ergeben sich aus den Abläufen des jeweiligen Betriebs. Es besteht keine gesetzliche Pflicht zur Bereitstellung gegenüber dem Verantwortlichen.

Automatisierte Entscheidungen

Es findet keine ausschließlich automatisierte Entscheidungsfindung mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO statt und es wird kein Profiling durchgeführt. Auch KI-erzeugte Entwürfe werden erst nach Prüfung durch einen Nutzer wirksam.

Sicherheit

Die App nutzt HTTPS, kurzlebige Sitzungen, rollen- und mandantengebundene Zugriffe sowie verschlüsselte lokale Speicherung. Kein technisches System kann absolute Sicherheit garantieren.

Datenschutzanfragen und Löschung

Datenschutzanfragen können per E-Mail an support@bauzettel.de gestellt werden. Für Konto- und Datenlöschung steht zusätzlich der Löschweg bereit. Diese Datenschutzinformation wird angepasst, wenn sich Funktionen, Anbieter oder rechtliche Anforderungen ändern.