Datenschutzerklärung

1.Wer wir sind und wie Sie uns erreichen

1.1 Diese Erklärung beschreibt, wie wir beim Betrieb des Dienstes Buildify CDE (Webanwendung cde.buildify.cz, Identity-Server api.buildify.cz) und der Marketing-Website buildify.cz mit personenbezogenen Daten umgehen.

1.2 Betreiber ist Buildify Digital s.r.o., Firmen-ID 29541743, mit Sitz in Korunní 2569/108, Vinohrady, 101 00 Prag 10, Tschechische Republik, eingetragen im Handelsregister des Stadtgerichts Prag, Aktenzeichen C 447453. Geschäftsführer ist Lukáš Kluch, der die Gesellschaft allein vertritt.

1.3 Schreiben Sie uns an kluch@buildify.cz. An dieselbe Adresse richten Sie auch Anträge auf Ausübung der Rechte nach Artikel 9.

1.4 Einen Datenschutzbeauftragten haben wir nicht benannt. Wir erfüllen die Voraussetzungen des Art. 37 DSGVO nicht — wir sind keine Behörde, überwachen Menschen nicht in großem Umfang und verarbeiten besondere Kategorien personenbezogener Daten nicht in großem Umfang. Datenschutzangelegenheiten bearbeitet der Geschäftsführer unmittelbar.

2.Zwei Rollen: wann wir Verantwortlicher und wann Auftragsverarbeiter sind

2.1 Unsere Stellung richtet sich danach, um welche Daten es geht.

2.2 Verantwortlicher sind wir für Daten zu Benutzerkonten und für Betriebsdaten des Dienstes: E-Mail, Vor- und Nachname, Avatar, Passwort-Hash, Status der E-Mail-Bestätigung, Anmeldeart, Zeitpunkt der letzten Anmeldung, Audit-Log, Sitzungen und Tokens, Rechnungsdaten, Anfragen über die Website. Über diese Verarbeitungen entscheiden wir, und sie richten sich nach dieser Erklärung.

2.3 Auftragsverarbeiter sind wir für alles, was Sie in Projekte hochladen: Dokumente, CAD und DWG, IFC- und BIM-Modelle, LandXML, Punktwolken, Fotografien, Mängel, Formulare, Aufgaben, Kommentare und Markups. Verantwortlicher für diese Inhalte ist das Unternehmen, das den Dienst bezogen hat. Wir arbeiten damit nur nach dessen Weisungen und nach dem geschlossenen Auftragsverarbeitungsvertrag.

Im Klartext: Ihr Konto führen wir. Was Sie hineinladen, gehört Ihrem Unternehmen. Wenn Sie wissen wollen, warum Ihre personenbezogenen Daten in einem fremden Projekt liegen, fragen Sie das Unternehmen, das das Projekt führt. Wir helfen ihm bei der Bearbeitung.

3.Was wir als Verantwortlicher verarbeiten

3.1 Übersicht der Verarbeitungen, über die wir entscheiden:

3.2 Das Audit-Log ist der Kern dessen, wozu ein CDE dient. Bei Dokumenten nach ISO 19650 muss jederzeit nachweisbar sein, wer was freigegeben, wer einen Revisionscode geändert hat und wann. Deshalb erfassen wir auch, wer eine Aktion ausgeführt hat und von wo. Ohne das hätte die Ausgabe aus dem CDE keinen Beweiswert.

3.3 Das Audit-Log überdauert deshalb die Kontolöschung. Wenn Sie Ihr Konto löschen, entfernen wir das Profil, die Einträge zu Handlungen in Projekten bleiben jedoch für den Rest der 24-Monats-Frist bestehen. Sonst ließe sich die Spur der eigenen Freigabe nachträglich verwischen. Das ist unser berechtigtes Interesse und das der übrigen Baubeteiligten. Sie können dagegen nach Artikel 9 Widerspruch einlegen.

3.4 IP-Adresse und User-Agent erfassen wir nur bei der Anmeldung, bei Handlungen im Audit-Log und in Betriebsprotokollen. Wir verfolgen nicht, über welche Seiten Sie sich bewegen, und erstellen kein Profil von Ihnen.

3.5 Eine Anfrage über die Website behandeln wir als vorvertragliche Maßnahme. Findet innerhalb von 24 Monaten kein Kontakt statt, löschen wir die Anfrage. Werbemitteilungen über die Antwort auf die Anfrage hinaus versenden wir nur mit Einwilligung.

3.6 Den Identity-Server api.buildify.cz nutzt auch das Schwesterprodukt bpulse desselben Anbieters; es handelt sich um zwei getrennte Verarbeitungen desselben Verantwortlichen, und Daten aus Buildify CDE werden für bpulse nicht verwendet.

3.7 Die Reichweitenmessung läuft nur auf der Marketing-Website buildify.cz und nur nach Ihrer im Cookie-Banner erteilten Einwilligung. Name, E-Mail, Telefonnummer und Anfragetext übermitteln wir nicht an die Messung. In der Webanwendung und auf dem Identity-Server läuft kein Analyse- oder Werbewerkzeug. Was genau gespeichert wird und wie Sie die Einwilligung widerrufen, beschreibt die Cookie-Richtlinie.

4.Fotografien von der Baustelle

4.1 Im Feldmodus werden Fotografien von der Baustelle zu Mängeln und Dokumentation hochgeladen. Darauf sind häufig Menschen, ihre Gesichter, Firmenkleidung und Kfz-Kennzeichen zu sehen. Das sind personenbezogene Daten.

4.2 Bei diesen Fotografien sind wir Auftragsverarbeiter. Verantwortlicher ist das Unternehmen, das sie in das Projekt hochgeladen hat. Es entscheidet, warum fotografiert wird, wie lange die Fotos aufbewahrt werden und wer sie sieht. Es erfüllt auch die Informationspflicht gegenüber den abgebildeten Personen.

Im Klartext: Wenn Sie auf einem Baustellenfoto zu sehen sind und das nicht möchten, wenden Sie sich an das Unternehmen, das das Foto aufgenommen hat. Wir sehen in Projekte hochgeladene Fotos nicht an und geben sie an niemanden weiter. Wir können selbst nicht beurteilen, wer darauf abgebildet ist.

4.3 Die Textextraktion aus Dokumenten läuft lokal auf unseren Servern mit der Bibliothek Tesseract. Der Inhalt Ihrer Dateien verlässt dafür unsere Umgebung nicht.

5.Freigabelinks und die Prüfseite für Ausdrucke

5.1 Ein Nutzer kann einen Freigabelink erstellen, über den auch jemand ohne Konto an ein Dokument gelangt. Über das Erstellen des Links entscheidet das Unternehmen, das das Projekt führt — wir sind dabei Auftragsverarbeiter. Beim Zugriff selbst erfassen wir die für Sicherheit und Nachweisbarkeit erforderlichen technischen Daten: Zeitpunkt des Zugriffs, IP-Adresse und User-Agent. Sie dienen der Abwehr eines Missbrauchs des Links.

5.2 Die öffentliche Prüfseite für Ausdrucke ist anonym. Sie scannen den QR-Code vom Druckstempel, und die Seite zeigt Ihnen lediglich, ob der Ausdruck noch gültig ist und zu welcher Version er gehört. Der Dokumentinhalt wird dort nicht angezeigt, und die Prüfung erfordert weder eine Anmeldung noch irgendwelche Angaben über Sie.

6.An wen wir Daten weitergeben

6.1 Wir verkaufen keine personenbezogenen Daten. Wir geben sie nur an die Dienstleister weiter, die wir für den Betrieb des Dienstes brauchen:

6.2 Die Dokumentbearbeitung im Browser über Collabora Online betreiben wir selbst auf eigener virtueller Infrastruktur in der Google Cloud. Es ist kein Unterauftragsverarbeiter, und Dokumente verlassen während der Bearbeitung unsere Umgebung nicht.

6.3 Wir können Daten auch an Behörden weitergeben, soweit das Gesetz dies vorschreibt, sowie an unseren Rechts- oder Steuerberater.

6.4 Einen Wechsel des Unterauftragsverarbeiters teilen wir den Kunden 30 Tage im Voraus mit.

7.Die Daten bleiben in der EU

7.1 Die gesamte Verarbeitung findet in der Europäischen Union statt. Anwendung, Datenbank und Speicher laufen in der Google Cloud in der Region europe-west3 (Frankfurt). Auch die Sicherungen liegen dort.

7.2 Die einzige Ausnahme ist Stripe, das Zahlungsdaten innerhalb seiner Gruppe weitergeben kann. Dies geschieht auf Grundlage der Standardvertragsklauseln nach dem Durchführungsbeschluss (EU) 2021/914 der Kommission.

Im Klartext: Ihre Dateien bleiben in Frankfurt. Die EU verlässt nur das, was zur Abwicklung einer Kartenzahlung nötig ist.

8.Wie lange wir Daten aufbewahren

8.1 Längere Fristen gelten nur dort, wo das Gesetz sie vorschreibt (Buchhaltungsbelege 10 Jahre) oder wo wir die Daten zur Verteidigung eines Rechtsanspruchs benötigen.

9.Ihre Rechte

9.1 Sie haben das Recht auf Auskunft über Ihre Daten, auf Berichtigung unrichtiger Daten, auf Löschung, auf Einschränkung der Verarbeitung, auf Datenübertragbarkeit für Daten, die auf Grundlage eines Vertrags oder einer Einwilligung verarbeitet werden, auf Widerspruch gegen eine auf berechtigtem Interesse beruhende Verarbeitung sowie auf Widerruf der Einwilligung jederzeit. Der Widerruf berührt nicht die Verarbeitung vor dem Widerruf.

9.2 Schreiben Sie an kluch@buildify.cz. Wir erledigen es innerhalb eines Monats. Ist der Antrag komplex oder gehen mehrere ein, können wir die Frist um weitere zwei Monate verlängern — wir informieren Sie darüber samt Begründung innerhalb eines Monats nach Eingang.

9.3 Wir müssen prüfen, dass Sie es wirklich sind. Meist genügt, dass Sie von der E-Mail-Adresse schreiben, mit der Sie sich im Dienst anmelden. Reicht das nicht, fragen wir eine ergänzende Angabe ab. Eine Ausweiskopie wollen wir nicht.

9.4 Betrifft der Antrag Inhalte in einem Projekt, für die wir nur Auftragsverarbeiter sind, können wir ihn nicht selbst erledigen. Wir leiten ihn unverzüglich an das Unternehmen weiter, das Verantwortlicher ist, und teilen Ihnen mit, an wen. Gegenüber unseren Kunden haben wir uns zur Mitwirkung innerhalb von 10 Arbeitstagen verpflichtet.

9.5 Das Grundlegende können Sie selbst erledigen: das Profil in den Kontoeinstellungen ändern, Benachrichtigungen in den Benachrichtigungseinstellungen abschalten und Marketing-E-Mails über den Link in der Fußzeile abbestellen.

10.Automatisierte Entscheidungsfindung

10.1 Wir führen keine automatisierte Entscheidungsfindung und kein Profiling mit Rechtswirkung für Sie durch.

11.Beschwerde bei der Aufsichtsbehörde

11.1 Wenn Sie meinen, wir gingen mit Ihren Daten schlecht um, wenden Sie sich bitte zuerst an uns. Sie haben aber auch das Recht, Beschwerde beim tschechischen Amt für den Schutz personenbezogener Daten (Úřad pro ochranu osobních údajů), Pplk. Sochora 27, 170 00 Prag 7, www.uoou.gov.cz, einzulegen.

12.Sicherheit, Kinder und Änderungen dieser Erklärung

12.1 Wir schützen Daten mit technischen und organisatorischen Maßnahmen — Isolation der Daten einzelner Kunden auf Datenbankebene, granulare Ordnerberechtigungen, verpflichtende E-Mail-Bestätigung, Mehr-Faktor-Authentifizierung für Super-Admins, verschlüsselte Übertragung und Verschlüsselung im Ruhezustand auf Seiten der Google Cloud, Begrenzung der Anfragezahl und Auditierung der Handlungen. Die vollständige Beschreibung der Maßnahmen ist Anlage zum Auftragsverarbeitungsvertrag, den wir mit dem Kunden schließen.

12.2 Der Dienst ist nicht für Personen unter 16 Jahren bestimmt, und wir richten für sie keine Konten ein.

12.3 Wir können diese Erklärung ändern, wenn sich der Dienst oder die Rechtslage ändert. Eine neue Fassung veröffentlichen wir mit Datum des Inkrafttretens auf der Website. Bei wesentlichen Änderungen informieren wir per E-Mail oder in der Anwendung.