Aufmasstool

Datenschutzerklärung

Stand:

Diese Datenschutzerklärung beschreibt, welche personenbezogenen Daten bei der Nutzung dieser Website, der App Aufmasstool für iOS und Android und der Browser-Fassung unter app.aufmasstool.de verarbeitet werden, zu welchem Zweck, auf welcher Rechtsgrundlage, wer sie erhält und wie lange sie gespeichert bleiben (Art. 13 DSGVO). Sie beschreibt den heutigen Stand. Wo eine Verarbeitung vorbereitet, aber noch nicht in Betrieb ist, oder wo eine Frage noch nicht geklärt ist, steht das ausdrücklich dabei.

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne von Art. 4 Nr. 7 DSGVO ist:

Tobias Bak
Im Oberdorf 13a
36399 Freiensteinau
Deutschland
E-Mail: info@aufmasstool.de

Ein Datenschutzbeauftragter ist nicht bestellt; die Voraussetzungen des § 38 BDSG liegen nicht vor. Anfragen zu dieser Erklärung und zur Ausübung Ihrer Rechte richten Sie bitte an die oben genannte Adresse.

2. Überblick: Wo die Daten liegen

Die Aufmaß-, Projekt- und Mediendaten entstehen auf Ihrem Gerät und werden dort in einer Datenbank gespeichert. Für die Anmeldung und, wenn Sie die Cloud nutzen, für die Synchronisierung betreiben wir einen eigenen Server.

Dieser Server ist kein fremder Cloud-Dienst. Es handelt sich um eine von uns selbst betriebene Installation auf einem gemieteten Server der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland. Serverstandort ist Deutschland. Hetzner stellt uns die Maschine, den Speicher und den Netzzugang zur Verfügung und ist insoweit unser Auftragsverarbeiter; einen Vertrag mit dem Hersteller der von uns eingesetzten Server-Software gibt es nicht, und dieser erhält auch keine Daten.

Nach Art. 28 DSGVO ist für diese Verarbeitung ein Vertrag zur Auftragsverarbeitung erforderlich. Wir haben ihn mit der Hetzner Online GmbH am 02.10.2026 geschlossen.

Versand von E-Mails

E-Mails verschicken wir über einen eigenen Mailserver, den wir selbst bei der Hetzner Online GmbH in Deutschland betreiben. Einen weiteren Dienstleister für den Versand gibt es nicht. Das betrifft die Nachrichten des Anmeldedienstes – Bestätigung der E-Mail-Adresse, Zurücksetzen des Passworts, Wechsel der Adresse –, den Bestätigungscode bei der Registrierung (Abschnitt 4), die Einladung in ein Team (Abschnitt 5.3), unsere Antwort auf eine Anfrage zu einem Messgerät, die Eingangsbestätigung einer Kündigung und die Vertragsbestätigung nach einem Kauf in der Browser-Fassung und nach jeder Erhöhung der Zahl von Team-Lizenzen (jeweils Abschnitt 7). Unser Mailserver übergibt dabei die Empfängeradresse, den Betreff und den Inhalt der Nachricht an den Mailserver des Empfängers. Die Rechtsgrundlage ist die der Verarbeitung, zu der die Nachricht gehört; sie steht jeweils im genannten Abschnitt. Hetzner ist auch für den Mailserver unser Auftragsverarbeiter; für den Vertrag zur Auftragsverarbeitung gilt, was oben zum Server steht.

3. Zugriffe auf unsere Server

Server-Logfiles beim Aufruf dieser Website

Beim Aufruf der Website werden durch die Server-Software automatisch Informationen erfasst, die Ihr Browser übermittelt. Dies sind insbesondere:

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der technisch fehlerfreien Auslieferung und der Sicherheit der Website. Eine Zusammenführung dieser Daten mit anderen Datenquellen findet nicht statt, ebenso wenig eine Auswertung zu Reichweiten- oder Werbezwecken. Zur Speicherdauer siehe Abschnitt 13.

Zugriffe der App und der Browser-Fassung

Solche Einträge entstehen nicht nur beim Aufruf dieser Website. Jede Anfrage der App und der Browser-Fassung an unseren Server – Anmeldung, Synchronisierung, Hochladen von Aufnahmen, Programmierschnittstelle – läuft durch dieselbe Kette aus Vermittler, Zugangsschicht und Laufzeitumgebung und wird dort ebenfalls mit IP-Adresse, Zeitpunkt, aufgerufener Adresse und Statusmeldung festgehalten. Zweck und Rechtsgrundlage entsprechen denen der Server-Logfiles oben. Welche Einträge die einzelnen Bestandteile dieser Kette im Einzelnen führen, richtet sich nach deren Voreinstellung. Die Einträge der Zugangsschicht, der Laufzeitumgebung und des Anmeldedienstes löschen wir nach 30 Tagen; was die Server-Software darüber hinaus selbst protokolliert, überschreibt sie fortlaufend (Abschnitt 13).

Cookies, Schriftarten, eingebundene Dienste

Diese Website setzt keine Cookies. Sie lädt keine Schriftarten, keine Skripte und keine Bilder von fremden Servern; sämtliche Dateien liegen auf unserem eigenen Server. Ein Analyse-, Reichweiten- oder Werbedienst ist nicht eingebunden. Eine Einwilligung nach § 25 Abs. 1 TDDDG ist deshalb nicht erforderlich, und ein Einwilligungsbanner gibt es bewusst nicht.

4. Konto und Registrierung

Die Anmeldung ist verpflichtend

Ohne Konto ist die App nicht nutzbar – auch nicht offline und auch nicht im kostenlosen Tarif. Startet die App ohne Konto, führt sie auf die Registrierung und nicht in Ihre Daten. Für jede Nutzerin und jeden Nutzer wird daher ein Konto auf unserem Server geführt, unabhängig davon, ob die Cloud-Synchronisierung eingeschaltet ist.

Welche Daten bei der Registrierung anfallen

Erhoben werden E-Mail-Adresse, Passwort, ein Anzeigename und eine lokale Kontokennung, die die App auf Ihrem Gerät erzeugt. Das Passwort speichern wir nicht im Klartext. Zum Konto gehört ein Profil mit Anzeigename, E-Mail-Adresse und einem Vermerk, welches Team zuletzt gewählt wurde (Abschnitt 5.8). Anzeigename und E-Mail-Adresse im Profil übernimmt unser Server selbsttätig aus dem Anmeldedienst: Ändern Sie Ihren Namen in der App oder bestätigen Sie eine neue E-Mail-Adresse, zieht das Profil nach. Den Namen ändern Sie deshalb nur mit Verbindung zu unserem Server; er gilt dann für Ihr Konto auf allen Geräten. Das Profil sieht zusätzlich Felder für Firmenname, Rechnungsanschrift und Umsatzsteuer-Identifikationsnummer vor; diese Felder werden derzeit von keiner Stelle der App befüllt.

Wird bei der Registrierung ein Einladungscode eingelöst, speichern wir, welcher Code von welchem Konto wann eingelöst wurde. Zweck ist die Begründung und Durchführung des Nutzungsverhältnisses; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Sprache des Kontos

Zu Ihrem Konto speichern wir die in der App eingestellte Sprache als Kürzel (de, en, pl, es oder fr). Die App übermittelt sie bei der Registrierung, bei jedem Wechsel der Sprache, solange Sie angemeldet sind, und einmal nach dem Start, wenn an Ihrem Konto noch keine Sprache steht. Sie liegt bei den übrigen Kontodaten im Anmeldedienst auf unserem Server. Zweck ist, Ihnen die E-Mails zum Zurücksetzen des Passworts und zur Bestätigung einer neuen E-Mail-Adresse in dieser Sprache zu schicken; für andere Zwecke verwenden wir sie nicht. Sie wird mit Ihrem Konto gelöscht (Abschnitt 13). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Zustimmung zu den Nutzungsbedingungen

Bei der Registrierung bestätigen Sie mit einem Haken, dass Sie die Allgemeinen Geschäftsbedingungen akzeptieren, diese Datenschutzerklärung zur Kenntnis genommen haben und mindestens 18 Jahre alt sind; ohne diesen Haken legen wir über die Registrierung kein Konto an. Fehlt für ein bestehendes Konto ein solcher Nachweis, fragt die App nach der Anmeldung danach; zustimmen lässt sich dann nur mit Verbindung zu unserem Server. Als Nachweis Ihrer Zustimmung speichern wir die Kennung Ihres Kontos, die Art der Zustimmung, die Fassung der Bedingungen (Monat und Jahr ihres Stands), den Zeitpunkt und ob Sie bei der Registrierung oder auf die spätere Nachfrage zugestimmt haben. Eine IP-Adresse oder E-Mail-Adresse speichern wir dazu nicht.

Zweck ist, belegen zu können, dass und welcher Fassung der Bedingungen Sie zugestimmt und dass Sie Ihr Mindestalter bestätigt haben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist dieser Nachweis, auch in einem Rechtsstreit. Der Nachweis bleibt deshalb nach der Löschung Ihres Kontos bestehen, und zwar bis zum Ende des dritten Kalenderjahres nach dem Jahr der Löschung – so lange, wie Ansprüche aus dem Nutzungsverhältnis in der Regel noch geltend gemacht werden können (§§ 195, 199 BGB; Art. 17 Abs. 3 lit. e DSGVO). Nach einer Löschung im März 2026 bleibt der Nachweis also bis Ende 2029 bestehen. Danach entfernt ihn ein täglicher Löschlauf.

Bestätigung der E-Mail-Adresse

Verlangt das Registrierungsformular einen Bestätigungscode, schicken wir einen sechsstelligen Code an die angegebene E-Mail-Adresse; erst mit diesem Code legen wir das Konto an. Dafür speichern wir die E-Mail-Adresse, den Code nur als Hashwert (nicht im Klartext), die Zahl der falschen Eingaben, die Zeitpunkte von Anforderung, Ablauf und Verwendung, die Sprache der Nachricht und die IP-Adresse, von der die Anforderung kommt, im Klartext. Ein Code gilt 15 Minuten. Adressen bestimmter Anbieter von Wegwerf-Postfächern nehmen wir nicht an; dazu gleichen wir den Teil der Adresse nach dem @-Zeichen mit einer Liste ab.

Zweck ist der Nachweis, dass die E-Mail-Adresse Ihnen gehört, und damit die Begründung des Nutzungsverhältnisses; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die IP-Adresse dient allein der Abwehr von automatisiertem Missbrauch des Anmeldewegs; Rechtsgrundlage ist insoweit Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse ist der Schutz des Anmeldewegs. Ein stündlicher Löschlauf entfernt jeden Eintrag 24 Stunden nach der Anforderung; ein Eintrag steht deshalb höchstens rund 25 Stunden. Die Löschung eines Kontos entfernt diese Einträge nicht gesondert, sie fallen mit demselben Lauf.

Schutz vor Massenanmeldungen. Bevor wir einen Code verschicken, kann die App bzw. die Browser-Fassung auf Ihrem Gerät eine kurze Rechenaufgabe lösen, die unser eigener Server stellt und prüft. Ein fremder Dienst ist dabei nicht eingebunden, und es werden keine Cookies gesetzt. Damit eine gelöste Aufgabe nicht ein zweites Mal gilt, speichern wir einen Hashwert der Aufgabe, der keine Angaben zu Ihrer Person enthält; wie oft Aufgaben und Codes angefordert werden, zählen wir je E-Mail-Adresse und je IP-Adresse nur als Hashwert (Begrenzung der Anmeldeversuche, unten). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der Schutz des Anmeldewegs.

Begrenzung der Anmeldeversuche

Um den Anmeldeweg vor automatisiertem Missbrauch zu schützen, begrenzen wir, wie oft innerhalb eines Zeitfensters eine Registrierung versucht, ein Bestätigungscode angefordert oder geprüft und eine Rechenaufgabe abgerufen werden kann – gezählt je E-Mail-Adresse, je IP-Adresse, von der die Anfrage kommt, und je Konto –, und ebenso, wie oft ein Wiederherstellungscode für den zweiten Faktor eingegeben werden kann. Dafür speichern wir die Adresse oder Kennung nicht selbst, sondern nur einen daraus berechneten Hashwert (SHA-256), dazu den Beginn des Zeitfensters und die Zahl der Versuche. Weil sich der Hashwert einer IP-Adresse mit vertretbarem Aufwand zurückrechnen lässt, behandeln wir ihn wie die Adresse selbst und halten ihn nur kurz vor: Ein täglicher Löschlauf entfernt jeden Zähler, dessen Zeitfenster mehr als 48 Stunden zurückliegt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der Schutz des Anmeldewegs und der Konten. Davon zu unterscheiden sind die Zugriffsprotokolle unserer Server, durch die auch diese Anfragen laufen (Abschnitt 3), und die eigenen Sitzungsdaten des Anmeldedienstes.

Zweiter Faktor

Sie können für Ihr Konto freiwillig einen zweiten Faktor einrichten: eine App auf einem Ihrer Geräte, die zeitabhängige Einmalcodes erzeugt. Den dafür nötigen geheimen Schlüssel verwaltet der Anmeldedienst auf unserem Server. Dazu erhalten Sie zehn Wiederherstellungscodes für den Fall, dass Sie keinen Zugriff mehr auf diese App haben. Die Wiederherstellungscodes speichern wir nur als Hashwert, nicht im Klartext; wir können sie Ihnen deshalb auch nicht noch einmal anzeigen. Ist ein zweiter Faktor eingerichtet, verlangt die App ihn bei der Anmeldung. Schalten Sie den zweiten Faktor ab oder lösen Sie einen Wiederherstellungscode ein, entfernen wir den Faktor und alle Wiederherstellungscodes; mit der Löschung des Kontos fallen sie ebenfalls. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Einladungsanfrage – hier wird die IP-Adresse im Klartext gespeichert

Solange die Registrierung nur mit Einladungscode möglich ist, können Sie über die App einen Code anfragen. Dabei speichern wir Name, E-Mail-Adresse, Ihren Freitext und die IP-Adresse, von der die Anfrage kommt. Die IP-Adresse wird im Klartext gespeichert; ein Hashwert wäre bei IPv4-Adressen in kurzer Zeit zurückzurechnen und daher kein Schutz.

Zweck der IP-Adresse ist allein die Begrenzung der Anfragen je Herkunft und damit die Abwehr von automatisiertem Missbrauch des Anfrageformulars. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der Schutz des Anmeldewegs. Eine Zusammenführung mit anderen Daten findet nicht statt, und die Adresse wird nicht zur Standortbestimmung verwendet.

Eine erledigte Anfrage – wir haben einen Code ausgestellt oder die Anfrage abgelehnt, oder mit dem Code ist ein Konto entstanden – löschen wir samt IP-Adresse 90 Tage nach der Bearbeitung, eine nie bearbeitete 180 Tage nach ihrem Eingang. Stellen wir einen Code aus, halten wir ihn nur bis zum Ablauf seiner Abholfrist im Klartext bei der Anfrage vor. Beides übernimmt ein täglicher Löschlauf. Einladungsanfragen zu derjenigen E-Mail-Adresse, unter der ein Konto zuletzt geführt wurde, werden mit der Löschung dieses Kontos entfernt. Auf Verlangen löschen wir eine Anfrage auch vorher (Abschnitt 14).

Anmeldung und Sitzung

Nach der Anmeldung hält die App ein Sitzungsmerkmal (Zugriffs- und Erneuerungsschlüssel) vor, damit ein Neustart keine erneute Anmeldung verlangt. Auf iOS und Android liegt es in der Datenbank der App, im Browser im lokalen Speicher des Browsers (siehe Abschnitt 5.2). Der Anmeldedienst führt dazu eigene Sitzungsdaten auf unserem Server.

App-Sperre und Anmeldung mit Face ID oder Fingerabdruck

In den Apps für iOS und Android können Sie die App mit Face ID, Touch ID, Fingerabdruck oder Gesichtserkennung sperren und Ihre Anmeldung merken lassen. Die biometrische Prüfung nimmt allein das Betriebssystem Ihres Geräts vor; die App erhält nur das Ergebnis „erkannt“ oder „nicht erkannt“. Biometrische Merkmale erhalten weder die App noch wir.

Lassen Sie die Anmeldung merken, legt die App Ihre E-Mail-Adresse und Ihr Passwort in einem Eintrag im Schlüsselbund des Geräts ab, den das System nur nach erfolgreicher biometrischer Prüfung herausgibt – auf iOS nur, solange ein Gerätecode eingerichtet ist, und ohne Übertragung auf ein anderes Gerät. In der Datenbank der App steht dazu nur Ihre E-Mail-Adresse als Hinweis, dass ein Eintrag besteht. Melden Sie sich mit Face ID oder Fingerabdruck an, schickt die App E-Mail-Adresse und Passwort wie bei jeder Anmeldung an den Anmeldedienst auf unserem Server; darüber hinaus wird nichts an uns übermittelt. Abmelden lässt den Eintrag bestehen, damit Sie sich wieder anmelden können. Er wird entfernt, wenn Sie die Funktion ausschalten, das Gerät vom Konto lösen oder das Konto löschen, und wenn der Server das gemerkte Passwort nicht mehr annimmt; ändert sich die Biometrie des Geräts, etwa durch einen neuen Fingerabdruck, macht das System den Eintrag unbrauchbar.

Gespeicherte Passwörter Ihres Passwortmanagers kann das System bei der Anmeldung einsetzen. Die Verknüpfung zwischen App und Webadresse stellt eine öffentliche Datei auf unserem Server her, die keine personenbezogenen Daten enthält. In der Browser-Fassung gibt es App-Sperre und biometrische Anmeldung nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Anmeldung mit Apple, Google oder Microsoft

Statt mit E-Mail-Adresse und Passwort können Sie sich über „Mit Apple fortfahren“, „Mit Google fortfahren“ oder „Mit Microsoft fortfahren“ anmelden. Dann melden Sie sich beim jeweiligen Anbieter an – Apple Distribution International Ltd. (Irland), Google Ireland Limited oder Microsoft Ireland Operations Limited –, und der Anbieter übermittelt uns eine Bestätigung mit Ihrer E-Mail-Adresse, einer Kennung Ihres Kontos bei ihm und, sofern vorhanden, Ihrem Namen. Gibt es zu dieser Adresse noch kein Konto, legen wir eines an; sonst verknüpfen wir die Anmeldung mit Ihrem bestehenden Konto. Bei Apple können Sie Ihre Adresse verbergen; dann erhalten wir eine Weiterleitungsadresse von Apple. Was der Anbieter bei Ihrer Anmeldung dort verarbeitet, regelt seine Datenschutzerklärung; die Anbieter verarbeiten die Daten als eigene Verantwortliche, dabei kann eine Übermittlung in die Vereinigten Staaten von Amerika stattfinden.

Wir speichern die Kennung beim Anbieter und die Angaben, die er bei der Anmeldung übermittelt (etwa Adresse und Name), mit Ihrem Konto. Für die Anmeldung mit Apple legen wir zusätzlich einen Schlüssel ab, mit dem wir den Zugang bei der Löschung Ihres Kontos bei Apple widerrufen; er wird dabei gelöscht. Hat Ihr Konto kein Passwort, bestätigen Sie heikle Änderungen (Passwort festlegen, Adresse ändern, Entsperren) mit einer erneuten Anmeldung beim Anbieter oder mit einem Sicherheitscode, den wir an Ihre Adresse schicken; vom Code speichern wir nur einen Prüfwert, er gilt 15 Minuten und wird mit dem nächsten Code oder dem Konto gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

5. Daten in der App

5.1 Auf Ihrem Gerät

Projekte, Häuser, Etagen, Wohnungen, Räume, Objekte, Bauteile, Messwerte, Aufmaßblätter, Belege, Unterschriften, Beteiligte und Medien werden in einer Datenbank auf Ihrem Gerät gespeichert. Fotos, Videos, Tonaufnahmen und 3D-Scans liegen als Dateien im Datenverzeichnis der App. Solange die Cloud-Synchronisierung aus ist, verlassen diese Fachdaten Ihr Gerät nicht – die Kontodaten aus Abschnitt 4 werden davon unabhängig auf unserem Server geführt.

5.2 Browser-Fassung und Speicherung im Endgerät (§ 25 TDDDG)

In der Browser-Fassung unter app.aufmasstool.de arbeitet die Datenbank im Arbeitsspeicher. Damit Ihre Daten ein Neuladen der Seite überstehen, legt die Anwendung zusätzlich einen Abzug dieser Datenbank im Datenbankspeicher des Browsers (IndexedDB) ab. Im lokalen Speicher des Browsers (localStorage) liegen das Sitzungsmerkmal der Anmeldung sowie zwei technische Vermerke, mit denen sich mehrere offene Browser-Fenster darüber verständigen, welches gerade schreiben darf; während einer Registrierung außerdem die eingegebene E-Mail-Adresse und der Stand ihrer Bestätigung, ohne den Code selbst.

Das ist ein Speichern von Informationen im Endgerät und ein Zugriff darauf im Sinne von § 25 Abs. 1 TDDDG. Wir stützen uns dabei ausdrücklich auf die Ausnahme des § 25 Abs. 2 Nr. 2 TDDDG: Beides ist unbedingt erforderlich, damit der von Ihnen ausdrücklich gewünschte Dienst überhaupt erbracht werden kann. Ohne das Sitzungsmerkmal wären Sie nach jedem Neuladen abgemeldet, ohne den Abzug wären Ihre Aufmaße nach jedem Neuladen verloren. Eine Einwilligung holen wir dafür nicht ein, weil das Gesetz sie in diesem Fall nicht verlangt. Zu Analyse-, Reichweiten- oder Werbezwecken wird nichts im Endgerät gespeichert.

Sie können diese Ablagen jederzeit über die Einstellungen Ihres Browsers für diese Adresse löschen. Danach sind die im Browser gehaltenen Aufmaße verloren, sofern sie nicht in die Cloud synchronisiert waren.

5.3 Cloud-Synchronisierung

Ist die Cloud für Ihr Konto eingeschaltet, werden die Fachdaten mit unserem Server abgeglichen. Übertragen werden dabei die Projekte samt Auftraggebername und Objektanschrift, Treppenhäuser mit eigener Anschrift, Etagen, Wohnungen, Räume, Objekte, Bauteile, Positionen des Leistungsverzeichnisses, Aufmaßblätter, Belege, Unterschriften (Abschnitt 5.9), Projektbeteiligte, die Änderungshistorie der Messwerte und der Bauelemente, die Löschvorgänge des Papierkorbs (Abschnitt 13), die Firmenstammdaten Ihres Betriebs (unter anderem Anschrift, Kontaktperson, Telefon, E-Mail, Steuernummer, Bankverbindung, Logo) sowie die Verwaltungsangaben zu Ihren Medien.

Firmenlogo. Speichern Inhaber oder Administratoren eines Teams im Firmenprofil ein Logo, lädt die App es als Bilddatei in den nicht öffentlichen Dateispeicher auf unserem Server, in den Ordner mit den Firmendaten dieses Teams; die Firmenstammdaten verweisen auf diese Datei. Lesen können sie alle Mitglieder des Teams, auch Mitglieder, die nur lesen, unabhängig vom Schalter „Fotos und Medien“. Die Geräte des Teams übernehmen ein geändertes Logo beim nächsten Abgleich, und unser Dienst für Aufträge der Programmierschnittstelle setzt es in ein dort angestoßenes PDF ein (Abschnitt 8). Ersetzen oder entfernen Sie das Logo, verweisen die Firmenstammdaten nicht mehr auf die alte Datei; die alte Datei selbst bleibt im Dateispeicher liegen, bis das Team gelöscht wird (Abschnitt 13). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Der Zugriff anderer Kundenkonten auf diese Daten ist serverseitig auf die Mitglieder Ihres Teams beschränkt. In der Mitgliederliste des Teams sieht jedes Mitglied, das Daten bearbeiten darf, die Rolle und den Anzeigenamen der anderen Mitglieder und welche Projekte ihnen zugewiesen sind; die E-Mail-Adressen der anderen Mitglieder sehen nur Inhaber und Administratoren des Teams, alle übrigen nur ihre eigene. Mitglieder mit der Rolle „Nur-Lesen“ sehen in der Mitgliederliste nur ihre eigene Zeile und dazu die Anzeigenamen der Inhaber des Teams; dasselbe gilt, wenn sie die Mitgliedschaften unmittelbar über unsere Datenschnittstelle abrufen. Unser eigener Zugang über das Verwaltungsportal bleibt davon unberührt; er ist in Abschnitt 9 beschrieben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags).

Damit Belegnummern auch über mehrere Geräte eines Betriebs nicht doppelt vergeben werden, reserviert die App im Cloud-Betrieb für Inhaber und Administratoren beim Abgleich Blöcke von Belegnummern auf unserem Server. Dazu speichern wir das Team, den Nummernkreis, das Jahr, den reservierten Nummernbereich, den Zeitpunkt und eine Kennung dieser Installation, die die App einmal zufällig erzeugt. Ein Bezug zu Ihrem Konto wird dabei nicht gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Dieselbe Kennung der Installation tragen die Löschvorgänge des Papierkorbs, die mit abgeglichen werden. So kann der Papierkorb anzeigen, ob ein Eintrag auf diesem oder auf einem anderen Gerät gelöscht wurde. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Arbeiten mehrere Personen in einem Team, halten wir zusätzlich die Ereignisse der Zusammenarbeit fest: dass Ihnen ein Projekt zugewiesen oder wieder entzogen wurde, dass sich Ihre Rolle geändert hat oder dass Ihre Mitgliedschaft geendet hat – je mit Zeitpunkt, Team, Projektname und der handelnden Person. Zweck ist, dass Ihr Gerät davon auch dann erfährt, wenn es zu diesem Zeitpunkt nicht verbunden war; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Zur Speicherdauer siehe Abschnitt 13.

Rechte für Mitglieder, die nur lesen. Für jedes Mitglied mit der Rolle „Nur-Lesen“ legen Inhaber und Administratoren des Teams mit vier Schaltern fest, ob es Preise und Belege, Fotos und Medien sowie Aufmaßblätter der Projekte sehen darf, die es im Team sieht, und ob die App ihm das Exportieren erlaubt. Wir speichern dazu je Mitgliedschaft den Stand der vier Schalter; er bleibt bei einem Wechsel der Rolle stehen. Ändert sich ein Schalter, halten wir das wie einen Rollenwechsel als Ereignis der Zusammenarbeit fest, damit das Gerät der Person die neuen Rechte erfährt. Voreingestellt ist „Preise und Belege“ aus, die übrigen drei Schalter sind an. Was ein Schalter ausschließt, gibt unser Server an die Person nicht heraus: ohne „Preise und Belege“ keine Belege, keine Preise der Positionen des Leistungsverzeichnisses, keine Unterschriften unter Belegen und keine Einträge im Papierkorb, die Belege enthalten; ohne „Fotos und Medien“ keine Fotos, Videos und Tonaufnahmen und keine Dateien im Dateispeicher außer den Firmendaten des Betriebs, etwa dem Logo, dazu keine Einträge im Papierkorb, die Medien enthalten; ohne „Aufmaßblätter“ keine Aufmaßblätter, keine Unterschriften darunter und keine Einträge im Papierkorb, die Aufmaßblätter enthalten. „Exportieren erlaubt“ wirkt nur in der App. Was ein Gerät schon geladen hatte, bevor ein Schalter abgeschaltet wurde, entfernt erst eine Fassung der App, die die Schalter kennt; ältere Fassungen der App entfernen es nicht. Unabhängig von den Schaltern sehen Mitglieder mit der Rolle „Nur-Lesen“ keine Webhook-Ziele und keine Nummernkreise für Belege, und sie können keine Anfragen zu Messgeräten stellen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Team-Lizenz in der Mitgliederliste. Inhabern und Administratoren eines Teams zeigen wir in der Mitgliederliste zu jedem Mitglied, ob es eine Team-Lizenz hat und welcher Art sie ist – eine eigene, eine ihm zugewiesene, eine ruhende oder keine –, und bei Mitgliedern mit der Rolle „Nur-Lesen“ den Stand ihrer vier Schalter. Den Anzeigenamen des Käufers einer zugewiesenen Lizenz zeigen wir dabei nur, wenn der Käufer selbst Inhaber oder Administrator dieses Teams ist. Zweck ist, dass die Teamführung erkennt, wer im Team Daten bearbeiten kann; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Einladung in ein Team per E-Mail. Laden Sie als Inhaber oder Administrator eines Teams eine Person ein, speichern wir die eingeladene E-Mail-Adresse, die vorgesehene Rolle, den Einladungscode, sein Ablaufdatum, Ihr Konto als einladendes, die Sprache der Einladung und ob und wann der Versand gelang. Die Einladung schicken wir über unseren Mailversand (Abschnitt 2) an die eingeladene Adresse – auch dann, wenn die Person noch kein Konto bei uns hat. Die Mail nennt das Team, die Rolle, den Einladungscode, sein Ablaufdatum und Ihre E-Mail-Adresse als die der einladenden Person; Antworten auf die Mail gehen an Ihre Adresse. Rechtsgrundlage ist für das einladende Team Art. 6 Abs. 1 lit. b DSGVO und gegenüber der eingeladenen Person Art. 6 Abs. 1 lit. f DSGVO: Das berechtigte Interesse des einladenden Betriebs und unseres liegt darin, die Person auf Wunsch des Betriebs zur Zusammenarbeit einzuladen. Zur Speicherdauer siehe Abschnitt 13.

Wird ein Leica DISTO per Bluetooth verbunden, speichert die App zusammen mit dem übernommenen Messwert die Bluetooth-Kennung dieses Messgeräts und überträgt sie mit in die Cloud. Es handelt sich um die Kennung des Messgeräts, nicht um eine Kennung Ihres Telefons und nicht um eine Werbekennung.

5.4 Daten Dritter in Ihren Projekten – unsere Rolle

In Ihren Projekten verarbeiten Sie regelmäßig Daten anderer Personen: Auftraggeber, Rechnungsempfänger, Ansprechpartner auf der Baustelle. Dazu gehören Name, Firma, Anschrift, Land, E-Mail-Adresse, Telefonnummer, Umsatzsteuer-Identifikationsnummer, Leitweg-ID, Kundennummer und Ihre Notizen; in den Belegen zusätzlich Name und Anschrift des Rechnungsempfängers.

Für diese Daten sind Sie der Verantwortliche und wir sind Ihr Auftragsverarbeiter nach Art. 28 DSGVO. Für Ihre eigenen Konto-, Tarif- und Abrechnungsdaten sind dagegen wir der Verantwortliche. Dafür ist ein Vertrag zur Auftragsverarbeitung erforderlich. Er ist für Team- und Cloud-Kunden in Vorbereitung und noch nicht verfügbar. Die Hetzner Online GmbH ist in diesem Verhältnis unser Unterauftragsverarbeiter.

5.5 Kamera, Mikrofon, Fotos, Videos und Tonaufnahmen

Für das Vermessen von Wänden und Räumen (auf iOS mit LiDAR, ARKit und RoomPlan, auf Android mit ARCore), für Referenzfotos und für die Baudokumentation greift die App auf die Kamera zu. Für gesprochene Notizen und für den Ton von Videoaufnahmen greift sie auf das Mikrofon zu; die entsprechenden Berechtigungen werden auf iOS und auf Android angefragt und können von Ihnen verweigert werden. In der Browser-Fassung fragt Ihr Browser nach Ihrer Erlaubnis, wenn Sie ein Foto oder Video mit der Kamera aufnehmen – das Mikrofon erst beim Start einer Videoaufnahme – oder eine Tonaufnahme starten; auch dort können Sie den Zugriff verweigern, ein Video entsteht dann ohne Ton. Gemessen wird mit der Kamera in der Browser-Fassung nicht: Ein Foto zum Messen mit Referenz wählen Sie dort über den Dateidialog Ihres Browsers. Tonaufnahmen sind eine eigene Medienart neben Foto und Video. Optional können Sie vorhandene Fotos und Videos aus der Mediathek Ihres Geräts anhängen.

Auf Android nutzen die Messmodi mit erweiterter Realität – Strecke, Höhe vom Boden zur Decke, Fläche, Objekt, Volumen und der geführte Raumumriss – sowie das Foto mit Tiefenkarte in der Fotodokumentation die Google Play-Dienste für AR (ARCore) der Google LLC, sofern sie auf Ihrem Gerät installiert sind. Damit die App anzeigen kann, welche dieser Modi Ihr Gerät beherrscht, fragt sie außerdem beim Öffnen der Objektliste ab, ob ARCore auf Ihrem Gerät verfügbar ist und – wenn Sie der App die Kamera schon erlaubt haben – ob es Tiefenbilder liefert; diese Abfrage läuft über die Google Play-Dienste. Das Messen auf einem Foto mit Referenz kommt ohne ARCore aus. Für diese Dienste ist Google verantwortlich; es gelten die Bestimmungen und die Datenschutzerklärung von Google.

Ist die Cloud für Ihr Konto eingeschaltet, wird jede Aufnahme von selbst hochgeladen – Fotos, Videos und Tonaufnahmen. Das geschieht automatisch im Hintergrund und nicht erst auf einen Knopfdruck. Die Dateien liegen dann in einem nicht öffentlichen Dateispeicher auf unserem Server, unter einem Pfad mit der Kennung Ihres Teams, und sind für die Mitglieder dieses Teams lesbar. Der frühere Satz, Aufnahmen würden „nicht automatisch an uns übertragen“, traf die Lage vor der Cloud-Synchronisierung und ist ersatzlos entfallen.

Zusammen mit der Datei speichern wir Dateiname, Dateityp, Größe, Aufnahmezeitpunkt, Dauer, Maße, Titel, Notiz, Sortierung, ein kleines Vorschaubild und etwaige Zeichnungen auf dem Bild. Zu einem Foto mit Tiefenkarte gehört die Tiefenkarte als eigene Datei; sie wird mit dem Foto abgelegt und hochgeladen.

Grenzen für Aufnahmen. Fotos über 25 MB, Videos über 3 Minuten oder über 250 MB und Tonaufnahmen über 60 Minuten nimmt die App nicht an: Sie lehnt sie beim Anhängen ab, nennt den Grund und legt sie nicht ab. Kann das Gerät oder der Browser die Länge eines Videos nicht lesen, prüft die App nur die Größe. Eine eigene Aufnahme über einer Grenze ist damit verloren. Eine Tonaufnahme hält die App bei 60 Minuten von selbst an und legt sie ab. Eine Mediendatei über 250 MB, die schon auf dem Gerät liegt, lädt die App nicht hoch; sie bleibt nur auf diesem Gerät. Wie viel Platz die Aufnahmen belegen, berechnet die App auf dem Gerät aus den Dateigrößen und ihren Einträgen; dafür geht nichts an unseren Server.

Hochgeladen werden die Dateien über eine zeitlich begrenzte Adresse unseres Dateispeichers, die die App mit Ihrer Anmeldung anfordert; in einzelnen Fällen, etwa bei einer älteren Fassung des Dateispeichers, lädt die App die Datei direkt mit Ihrer Anmeldung hoch. Heruntergeladen wird über eine zeitlich begrenzte Adresse, die die App ebenso anfordert und die 60 Sekunden gilt. Beim Herunterladen gelten dieselben Leserechte wie für die übrigen Daten Ihres Teams, samt dem Schalter „Fotos und Medien“ für Mitglieder, die nur lesen (Abschnitt 5.3).

5.6 Standortdaten und EXIF-Angaben in Fotos

Die App liest den Standort Ihres Geräts nicht aus. Auf Android 11 und älteren Fassungen verlangt das Betriebssystem allerdings für die Suche nach Bluetooth-Geräten die Berechtigung zum genauen Standort; die App fragt sie dort deshalb an, wenn Sie nach einem Messgerät suchen, und nutzt sie allein für diese Suche. Ab Android 12 fragt die App nur die Bluetooth-Berechtigungen an, ausdrücklich ohne Standortableitung. Auf iOS und in der Browser-Fassung fragt die App nicht nach dem Standort.

Fotos enthalten allerdings häufig EXIF-Angaben, die das Gerät selbst hineinschreibt. Ausgewertet wird davon nur der Aufnahmezeitpunkt und mittelbar die Bildausrichtung. Die Bilddatei wird beim Ablegen byteweise kopiert und nicht neu kodiert, und die App entfernt keine EXIF-Angaben. Enthält ein Foto einen GPS-Block – weil Ihr Gerät so eingestellt ist –, bleibt dieser damit erhalten und wird bei eingeschalteter Cloud mit hochgeladen. Ob Ihr Gerät Koordinaten in Fotos schreibt, entscheiden das Betriebssystem und Ihre Geräteeinstellungen; prüfen können Sie das in den Kamera- und Datenschutzeinstellungen Ihres Geräts.

5.7 Fehlerberichte

Aus der App und der Browser-Fassung nur mit Ihrer Einwilligung. Unter Einstellungen › Fehlerberichte können Sie einschalten, dass die App bei einem unerwarteten Fehler einen technischen Bericht an unseren Server schickt; die Vorgabe ist aus. Der Bericht enthält Art und Text der Fehlermeldung, die technische Aufrufspur mit Funktions- und Bildschirmnamen, den Zeitpunkt, die Fassung der App und der lokalen Datenbank, das Betriebssystem und seine Fassung, die Geräteart (Telefon, Tablet oder Rechner), den Namen des zuletzt geöffneten Bildschirms und ob eine Cloud-Anmeldung besteht (nur ja oder nein). Er enthält keine Kennung Ihres Kontos, Ihres Teams oder Ihres Geräts, und unser Server liest beim Empfang Ihre IP-Adresse nicht aus – abgesehen von den Zugriffsprotokollen nach Abschnitt 3. Aus dem Text der Fehlermeldung entfernt die App vorher, was als Muster erkennbar ist, etwa E-Mail-Adressen, Beträge, Messwerte, Bankverbindungen, Kennungen, Dateipfade und Postleitzahlen mit Ort. Ganz ausschließen lässt sich nicht, dass ein Name, der ohne solches Muster mitten im Satz steht, stehen bleibt.

Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Sie können sie jederzeit am selben Schalter mit Wirkung für die Zukunft widerrufen; noch nicht übertragene Berichte werden dabei verworfen. Die Einwilligung speichert die App auf dem Gerät beziehungsweise im Browser, nicht an Ihrem Konto.

Aus unseren Serverdiensten ohne Einwilligung. Scheitert auf unserem Server einer der Dienste, mit denen App und Browser-Fassung arbeiten, mit einem internen Fehler, legt er selbst einen Fehlerbericht an: Zeitpunkt, Art des Fehlers, Name des Dienstes, die Fehlermeldung und die technische Aufrufspur. Auch dieser Bericht enthält keine Kennung Ihres Kontos, Ihres Teams oder Ihres Geräts. Die Fehlermeldung wird vor dem Speichern nach denselben Regeln bereinigt und zusätzlich um Zugangsdaten und IPv4-Adressen; vollständig ausschließen lässt sich ein Rest an Personenbezug auch hier nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, Störungen des Dienstes zu erkennen und zu beheben.

Beide Arten von Berichten liegen auf unserem Server, sind nur uns im Verwaltungsportal zugänglich und werden 90 Tage nach Eingang gelöscht (Abschnitt 13). Unabhängig davon gibt das Aktualisierungsmodul von Expo nach einem schweren Fehler beim Start dessen Fehlermeldung an Expo weiter (Abschnitt 6).

5.8 Teamwechsel, Umzug von Projekten und Tarifgrenzen im Team

In welchem Team ein Gerät arbeitet. Gehört Ihr Konto mehreren Teams an, arbeitet ein Gerät mit eingeschalteter Cloud immer in einem davon. Um Ihnen die Auswahl zu zeigen, liest die App an unserem Server Ihre eigenen Mitgliedschaften samt Rolle und die Namen dieser Teams. Am Profil Ihres Kontos vermerken wir, welches Team zuletzt gewählt wurde; denselben Vermerk setzt unser Server, wenn Sie einem Team beitreten oder ein Team anlegen, und wir können ihn als Betreiber festlegen (Abschnitt 9). Er dient dazu, dass ein späteres Einschalten der Cloud in der Regel in diesem Team landet. „Weiteres Team anlegen“ legt an unserem Server ein Team mit dem eingegebenen Namen an, dessen Inhaber Ihr Konto ist; „Mit Code beitreten“ löst eine Einladung ein (Abschnitt 5.3).

Teamwechsel. Ein Wechsel des Teams geht nur mit Verbindung zu unserem Server. Vorher gleicht die App das Gerät mit dem bisherigen Team ab. Danach entfernt sie die Daten des bisherigen Teams aus der Datenbank des Geräts – die Projekte samt allem, was daran hängt, und die Firmenstammdaten dieses Teams –; auf unserem Server bleiben sie erhalten. Projekte, die Sie als Mitglied mit der Rolle „Nur-Lesen“ selbst angelegt haben, bleiben auf dem Gerät. Ginge dabei etwas verloren – noch nicht hochgeladene Änderungen, Fotos, Videos und Tonaufnahmen, beim Wechsel auf die Rolle „Messen“ abgelegte Einträge, offene Einträge der Konfliktliste oder Raumscans, die nur auf dem Gerät liegen –, fragt die App vorher nach und nennt die Zahl; lässt sich das nicht vollständig zählen, fragt sie ebenfalls. Entfernt wird erst nach Ihrer Bestätigung. Auf Telefon und Tablet legt die App vor dem Entfernen eine Sicherung der ganzen Datenbank auf dem Gerät an, ohne Fotos, Videos und Tonaufnahmen; lässt sie sich nicht anlegen, wechselt die App nicht. Von ihren Sicherungen behält die App auf dem Gerät die sieben jüngsten. In der Browser-Fassung gibt es diese Sicherung nicht.

Bis ein Wechsel abgeschlossen ist, steht auf dem Gerät ein Vermerk mit Ihrer Kontokennung, den Kennungen beider Teams, dem Zeitpunkt und dem Stand des Wechsels; so lange gleicht das Gerät nicht ab. Einen unterbrochenen Wechsel setzt die App beim nächsten Start mit Verbindung fort oder verwirft ihn. Braucht die App dafür Ihre Zustimmung oder kann sie den Vermerk nicht lesen, zeigt sie das oben auf dem Team-Bildschirm an; einen unlesbaren Vermerk verwirft sie nur auf Ihre Entscheidung. Verwerfen Sie dort einen unlesbaren Vermerk, holt die App beim nächsten Abgleich die Daten Ihres Teams erneut vollständig von unserem Server. Anfragen zu einem Messgerät, die auf dem Gerät auf eine Verbindung warten (Abschnitt 7), tragen die Kennung des Teams, in dem Sie sie gestellt haben, und gehen nur an dieses Team; Anfragen aus einer älteren Fassung der App ohne diese Kennung gehen an das Team, in dem das Gerät sie als Nächstes absendet.

Firmenangaben je Team. Die Firmenangaben, die die App auf dem Gerät hält – Name, Anschrift, Steuer- und Bankangaben, Logo und weitere –, legt sie bei einem Wechsel unter der Kennung des bisherigen Teams auf dem Gerät ab und holt sie bei einem Rückwechsel in dieses Team wieder hervor; im neuen Team gelten dessen Firmenangaben. Abgelegt werden sie nur auf dem Gerät. Gelöscht werden sie, wenn Sie Ihr Konto löschen und die Daten auf dem Gerät dabei nicht behalten (Abschnitt 13).

Einschalten der Cloud. Wählen Sie beim Einschalten der Cloud ein Team, dem Ihr Konto schon angehört, legen Sie ein neues an oder treten Sie einem Team mit einem Code bei, und liegen auf dem Gerät Daten eines Ihrer anderen Teams, entfernt die App diese wie bei einem Wechsel aus der Datenbank des Geräts und legt die Firmenangaben ebenso ab; auf unserem Server bleiben die Daten erhalten. Ginge dabei etwas verloren, fragt sie vorher mit der Zahl nach, sonst nicht. Auf Telefon und Tablet entfernt sie nur, wenn die Sicherung gelungen ist, die die App vor jedem Einschalten der Cloud anlegt; gelingt sie nicht, bricht das Einschalten ab, ohne etwas zu entfernen. In der Browser-Fassung entfernt die App ohne Sicherung.

Umzug eines Projekts in ein anderes Team. Als Betreiber können wir über unser Verwaltungsportal (Abschnitt 9) ein Projekt samt allem, was daran hängt, einschließlich der Projektbeteiligten, einem anderen Team zuordnen. Danach sehen es die Mitglieder dieses Teams nach ihren Rollen, das abgebende Team nicht mehr. Damit die Geräte des abgebenden Teams davon erfahren, halten wir eine Abgangsmeldung fest – Projektkennung, Projektname, abgebendes Team, Art und Zeitpunkt, ohne das neue Team –, die nur Mitglieder des abgebenden Teams lesen können. Ein Gerät mit einer aktuellen Fassung der App liest sie beim Abgleich, speichert sie in seiner Datenbank samt der Zahl der dabei nicht hochgeladenen Änderungen und Aufnahmen und entfernt das Projekt mit allem, was daran hängt, aus seiner Datenbank; an unseren Server geht dabei nichts. Auf Telefon und Tablet legt die App vorher eine Sicherung der ganzen Datenbank auf dem Gerät an, ohne Fotos, Videos und Tonaufnahmen. In der Browser-Fassung entfernt sie das Projekt erst, wenn Sie über den Hinweis in der Liste der Häuser den Download einer Sicherung angestoßen haben; ebenso auf Telefon und Tablet, wenn die Sicherung dort nicht angelegt werden konnte. Haben Sie im abgebenden Team nur Leserechte, entfernt die Browser-Fassung das Projekt ohne Sicherung, sobald Sie im Hinweis „Projekt entfernen“ wählen. Die Mediendateien des Projekts entfernt die App auf Telefon und Tablet später beim Aufräumen ihres Speichers; in der Browser-Fassung bleiben sie im Speicher des Browsers, bis Sie ihn leeren (Abschnitt 5.2). Eine ältere Fassung der App liest die Meldung nicht und behält das Projekt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Tarifgrenzen im Team. Beim Hochladen und bei einigen Team-Funktionen – Einladen, Anfragen zu Messgeräten, eine schreibende Rolle für ein Mitglied, das bisher nur liest, das Anlegen eines weiteren eigenen Teams und die Freigabe eines Projekts für ein Mitglied – prüft unser Server, ob der Tarif sie abdeckt. Solange er dabei nur zählt und nicht abweist, halten wir je Team, Konto, Grund und Bereich fest, wann eine solche Handlung zum ersten und zum letzten Mal über den Tarif hinausging und wie oft. Zweck ist abzuschätzen, wen eine Durchsetzung der Tarifgrenzen träfe; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Diese Zählung sehen nur wir im Verwaltungsportal; sie wird mit Ihrem Konto beziehungsweise mit dem Team gelöscht (Abschnitt 13).

5.9 Unterschriften auf Aufmaßblättern und Belegen

An einem freigegebenen Aufmaßblatt und an einem gestellten Beleg kann in der App unterschrieben werden – etwa von Ihrem Auftraggeber oder seiner Bauleitung, mit dem Finger, einem Stift oder der Maus. Gespeichert werden dazu das Strichbild der Unterschrift, Name, Rolle und Ort der unterschreibenden Person, so wie sie eingetragen werden, der Zeitpunkt, die Art und Kennung des unterschriebenen Aufmaßblatts oder Belegs, eine Prüfsumme (SHA-256) über dessen Inhalt im Augenblick der Unterschrift und die Kennung der Installation, auf der unterschrieben wurde (Abschnitt 5.3). Mit der Prüfsumme lässt sich später erkennen, ob das Dokument nach dem Unterschreiben geändert wurde. Es handelt sich um eine einfache elektronische Unterschrift.

Die Unterschriften liegen in der Datenbank des Geräts, auf dem unterschrieben wurde. Ist die Cloud eingeschaltet, werden sie mit unserem Server abgeglichen und erreichen die Geräte der Mitglieder Ihres Teams, die das unterschriebene Aufmaßblatt bzw. den Beleg sehen dürfen – mit denselben Leserechten wie das Dokument selbst (Abschnitt 5.3). Im PDF eines Belegs und im PDF-Bericht über ein Projekt stehen die Unterschriften mit Strichbild, Name, Rolle, Ort, Zeitpunkt und Prüfsumme; dazu hängt die App an die PDF-Datei den Prüfabzug des unterschriebenen Dokuments samt Prüfsumme als Beilage an. Ein PDF, das über die Programmierschnittstelle entsteht, enthält keine Unterschriften.

Zweck ist der Nachweis, dass die unterschreibende Person den Stand des Aufmaßblatts oder Belegs bestätigt hat. Unterschreibt eine andere Person als Sie, sind ihre Angaben Daten Dritter in Ihren Projekten: Verantwortlich sind Sie, wir verarbeiten sie in Ihrem Auftrag (Abschnitt 5.4), und die Rechtsgrundlage gegenüber dieser Person – etwa die Durchführung Ihres Vertrags mit ihr (Art. 6 Abs. 1 lit. b DSGVO) oder Ihr berechtigtes Interesse am Nachweis (Art. 6 Abs. 1 lit. f DSGVO) – bestimmen Sie. Für Ihre eigene Unterschrift ist Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO. Zur Speicherdauer siehe Abschnitt 13.

5.10 Ablage von Exporten auf einem WebDAV-Server

In den Apps für iOS und Android können Sie ab dem Tarif Pro eine erzeugte Exportdatei, statt sie zu teilen, unmittelbar auf einem WebDAV-Server ablegen, etwa in einer Nextcloud. Den Server bestimmen Sie: Die App schickt die Datei – je nach Format mit Projekt-, Aufmaß-, Beleg- oder Fotodaten – über eine verschlüsselte Verbindung an die Adresse, die Sie eintragen, und meldet sich dort bei jeder Anfrage mit Ihrem Benutzernamen und Passwort an; um den Zugang zu prüfen und einen Ordner zu wählen, fragt sie dort die Ordnerliste ab. Über unseren Server läuft dabei nichts. Empfänger ist der Betreiber des von Ihnen gewählten Servers; die Übermittlung erfolgt auf Ihre Weisung, und für Auswahl und Sicherheit des Servers sind Sie verantwortlich.

Adresse und Benutzernamen speichert die App in ihrer Datenbank auf dem Gerät, das Passwort im Schlüsselbund des Geräts. Beides geht nicht in die Sicherungen und nicht in den Datenexport der App und wird nicht mit unserem Server abgeglichen. „Zugang entfernen“ löscht beides, ebenso die Löschung Ihres Kontos, wenn Sie die Daten auf dem Gerät dabei nicht behalten (Abschnitt 13). In der Browser-Fassung gibt es dieses Ziel nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

6. Abrufe bei Dritten beim Start der App

Zwei Abrufe löst die App beim Start aus, ohne dass Sie sie anstoßen. Sie sind hier genannt, weil dabei die IP-Adresse Ihres Geräts an einen Dritten übermittelt wird.

Rechtsgrundlage für beide Abrufe ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, Fehlerbehebungen und Sicherheitsaktualisierungen ausliefern zu können. Beide Dienste werden von Anbietern mit Sitz in den Vereinigten Staaten von Amerika erbracht, sodass eine Übermittlung in ein Drittland im Sinne von Art. 44 ff. DSGVO anzunehmen ist. Apple ist für seinen Nachschlagedienst eigener Verantwortlicher. Für den Aktualisierungsdienst von Expo haben wir noch nicht abschließend geklärt, ob Expo dabei in unserem Auftrag oder in eigener Verantwortung handelt und auf welche Garantie nach Art. 44 ff. DSGVO sich die Übermittlung stützt. Einen Vertrag mit Expo darüber, Standardvertragsklauseln oder eine Zertifizierung können wir Ihnen deshalb hier nicht nennen; wir tragen das nach, sobald es geklärt ist. Wenn Sie die Abrufe vermeiden möchten, können Sie die Browser-Fassung unter app.aufmasstool.de verwenden – dort findet keiner der beiden Abrufe statt.

7. Kauf, Tarife und Freischaltung

Kostenpflichtige Tarife schalten wir Ihrem Konto serverseitig frei. Dazu speichern wir zu Ihrem Konto den Tarif, den Gültigkeitszeitraum, die Herkunft der Berechtigung und die Kennungen des zugrunde liegenden Vorgangs. Für eine Testphase halten wir zusätzlich fest, wann sie begonnen hat, für welchen Tarif sie gilt und ob sie nach Angabe der App in der Browser- oder in der Desktop-Fassung gestartet wurde; diese Angaben werden bewusst nicht zurückgesetzt, damit eine Testphase nicht mehrfach in Anspruch genommen werden kann. Starten lässt sich die Testphase in der Browser-Fassung; in den Apps für iOS und Android gibt es sie nicht.

Im Team-Tarif können Sie außerdem in der App die Unterstützung neuer Messgeräte anfragen. Gespeichert werden dabei die Gerätebezeichnung, Ihre Notiz, das Team, der Zeitpunkt, die Sprache der App und Ihr Konto als das einreichende. Antworten wir darauf, halten wir zusätzlich die Antwort, ihren Zeitpunkt und die antwortende Person fest und schicken die Antwort in der Regel auch per E-Mail an die Adresse Ihres Kontos, in der Sprache, in der Sie die Anfrage gestellt haben (Abschnitt 2). Lässt sich eine Anfrage nicht absenden – etwa ohne Verbindung –, bleibt sie auf Ihrem Gerät gespeichert und erreicht uns nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

In der App für iOS ist der Kauf über den App Store von Apple gebaut. Die Zahlung wickelt dabei Apple ab; wir erhalten keine Zahlungsdaten wie Kartennummern. An Apple übermittelt die App zum Kauf eine je Installation zufällig erzeugte Kennung – ausdrücklich nicht Ihre Konto-Kennung und keine Personendaten. Apple übermittelt uns Angaben zum Kauf und zu dessen weiterem Verlauf, etwa bei Verlängerung oder Kündigung; wir prüfen den von Apple signierten Kaufbeleg auf unserem eigenen Server. Es gelten ergänzend die Datenschutzbestimmungen von Apple.

In der App für Android ist der Kauf über Google Play gebaut. Die Zahlung wickelt dabei Google über Google Play ab; wir erhalten keine Zahlungsdaten. Beim Kauf übergibt die App an Google als verschleierte Kontokennung den SHA-256-Hashwert Ihrer Nutzerkennung – nicht die Kennung selbst, nicht Ihre E-Mail-Adresse und nicht Ihren Namen. Nach dem Kauf schickt die App unserem Server das Kauf-Token, die Produktkennung und den Paketnamen der App. Damit fragt unser Server bei der Google Play Developer API den Stand des Kaufs ab und erhält Produkt, Laufzeit, Zustand des Abos, die Angabe, ob es ein Testkauf ist, und die verschleierte Kontokennung zurück; Ihrem Konto ordnen wir den Kauf nur zu, wenn diese Kennung zu Ihrem Konto passt. Zusätzlich schickt Google unserem Server über Google Cloud Pub/Sub Echtzeitmeldungen zu Ihrem Abo, etwa zu Verlängerung, Kündigung oder Erstattung; daraufhin fragen wir den Stand erneut ab. Wir speichern zum Abo Produkt, Tarif, Ablaufdatum, Umgebung (Test oder Betrieb), das ursprüngliche Kauf-Token als Kennung des Vorgangs und die Art der letzten Meldung. Es gelten ergänzend die Datenschutzbestimmungen von Google.

Daneben kennt unser System Wege, die ohne Kauf auskommen: Wir können einen Tarif von Hand freischalten (dabei speichern wir den Grund der Freischaltung), und Sie können in der Browser-Fassung einen Gutscheincode einlösen (unten, „Gutscheine“). Außerdem können Sie in der Browser-Fassung über Stripe kaufen (unten).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit unten nichts anderes steht. Die Auslieferung der App selbst erfolgt über den App Store von Apple Inc. beziehungsweise über Google Play der Google Ireland Limited; diese Unternehmen sind für die Verarbeitung in ihren Läden eigene Verantwortliche, und wir erfahren von uns aus nicht, wer die App geladen hat.

Team-Lizenzen für Mitarbeiter

Ein Käufer kann Team-Lizenzen für Mitarbeiter erwerben und an andere Personen verteilen. Eine solche Lizenz wirkt für die Person, die sie hält, wie ein eigener Team-Tarif. Gekauft werden sie in der Browser-Fassung über Stripe (unten). Zu jeder Lizenz speichern wir das Konto des Käufers, das Konto der Person, die sie hält, den Zeitpunkt der Zuweisung und wer sie vorgenommen hat sowie den Zeitpunkt einer Freigabe und wer freigegeben hat. Gibt der Käufer eine Lizenz als Code aus, halten wir den Code nur als Hashwert vor, nicht im Klartext; im Klartext zeigen wir ihn allein dem Käufer, einmal bei der Ausgabe. Eingelöst wird ein solcher Code über dasselbe Feld wie ein Gutschein (unten). Eine freigegebene Lizenz löschen wir nicht; ihre Zeile bleibt als Nachweis darüber, wer in welchem Zeitraum auf wessen Kosten gearbeitet hat. Löscht die Person, die eine Lizenz hält oder gehalten hat, ihr Konto, löschen wir diese Zeilen mit.

Zuweisung per E-Mail-Adresse. Weist der Käufer eine Lizenz einer E-Mail-Adresse zu, speichern wir die Adresse, wie er sie eingegeben hat, in Kleinbuchstaben. Die Zuweisung ist zunächst eine Vormerkung. Ruft ein Konto mit dieser bestätigten Adresse das nächste Mal seinen Tarif bei unserem Server ab – etwa beim Start der App oder bei der Anmeldung – und hält es keine andere Lizenz, fragt die App, ob es die Lizenz annimmt; dazu zeigen wir den Firmennamen des Käufers oder, wenn keiner hinterlegt ist, seinen Anzeigenamen. Wirksam wird die Lizenz erst mit der Annahme. An die Adresse schicken wir keine Nachricht. Die Antwort auf eine Zuweisung ist dieselbe, ob zu der Adresse ein Konto besteht oder nicht, und bis zur Antwort der Person sieht der Käufer nur die Vormerkung. Nimmt die Person an, sieht der Käufer in seiner Übersicht ihren Anzeigenamen (unten) und erkennt daran, dass zu der Adresse ein Konto besteht; lehnt sie ab, wird die Lizenz wieder frei. Die eingegebene Adresse löschen wir, sobald die Vormerkung angenommen, abgelehnt oder freigegeben ist. Ist sie 90 Tage nach der Zuweisung nicht angenommen, gibt ein täglicher Löschlauf die Lizenz frei und löscht die Adresse – mit dem ersten Lauf nach Ablauf der 90 Tage (Abschnitt 13).

Wer was sieht. Der Käufer sieht zu jeder seiner offenen Lizenzen, ob sie einem Konto, einer Adresse oder einem Code zugeordnet ist, die von ihm eingegebene Adresse (nur, solange eine Vormerkung offen ist), den Anzeigenamen der Person, die die Lizenz hält (nur wenn ein Konto sie hält, bei einer Vormerkung also erst nach der Annahme), den Zeitpunkt und ob die Lizenz wirksam ist oder ruht. Die Anmeldeadresse einer Person, die einen Code eingelöst hat, sieht er nicht. Wer eine Lizenz hält, sieht nur seine eigene Zuordnung, ohne Angaben zum Käufer, und kann sie selbst freigeben. In unserem Verwaltungsportal sehen wir je Käufer seine E-Mail-Adresse und die Zahlen seiner Lizenzen, keine Codes.

Ruhen. Sind mehr Lizenzen vergeben, als der Käufer bezahlt – etwa nach einem Zahlungsausfall oder nachdem er ihre Zahl verringert hat –, ruhen die zuletzt vergebenen; noch nicht eingelöste Codes und Vormerkungen zählen dabei mit. Eine ruhende Lizenz gibt keinen Tarif; steigt die bezahlte Zahl wieder, wird sie von selbst wieder wirksam. Daten werden dabei nicht gelöscht. Wird das Konto des Käufers gelöscht, ruhen alle Lizenzen, die er vergeben hat, und noch nicht angenommene Vormerkungen gibt der tägliche Löschlauf samt Adresse frei; wird das Konto einer Person gelöscht, die eine Lizenz hält, entfällt deren Zeile, und die Lizenz wird frei.

Damit sich über die Zuweisung nicht massenhaft Adressen ausprobieren lassen, nehmen wir je Käuferkonto höchstens 100 Zuweisungen und Codes in der Stunde an. Dafür speichern wir nicht die Kontokennung selbst, sondern nur einen daraus berechneten Hashwert (SHA-256), dazu den Beginn des Zeitfensters und die Zahl der Versuche; ein täglicher Löschlauf entfernt jeden Zähler, dessen Zeitfenster mehr als 48 Stunden zurückliegt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO – gegenüber dem Käufer der Vertrag über die Lizenzen, gegenüber der Person, die eine Lizenz hält, der Nutzungsvertrag. Für die eingegebene Adresse einer Person, die die Lizenz noch nicht hält, und für die Begrenzung der Zuweisungen ist Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO: Das berechtigte Interesse des Käufers und unseres liegt darin, die Lizenz auf Wunsch des Käufers dieser Person zukommen zu lassen und die Zuweisung vor Missbrauch zu schützen. Zur Speicherdauer siehe Abschnitt 13.

Kauf in der Browser-Fassung über Stripe

In der Browser-Fassung können Sie einen Tarif oder Team-Lizenzen über den Zahlungsdienstleister Stripe kaufen. Dabei gilt:

Gutscheine

In der Browser-Fassung können Sie im Profil unter „Gutschein einlösen“ einen Gutscheincode einlösen; in den Apps für iOS und Android gibt es dieses Feld nicht. Ausgegebene Codes halten wir nur als Hashwert vor, nicht im Klartext; den eingegebenen Code speichern wir nicht. Gelingt die Einlösung, speichern wir, welcher Gutschein von welchem Konto wann eingelöst wurde, samt dem freigeschalteten Tarif und dem Ende der Freischaltung. Über dasselbe Feld wird auch der Code einer Team-Lizenz eingelöst; gelingt das, ordnen wir die Lizenz Ihrem Konto zu (oben). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Damit sich Codes nicht durch Ausprobieren erraten lassen, nehmen wir je Konto höchstens zehn Versuche in der Stunde an. Dafür speichern wir nicht die Kontokennung selbst, sondern nur einen daraus berechneten Hashwert (SHA-256), dazu den Beginn des Zeitfensters und die Zahl der Versuche; ein täglicher Löschlauf entfernt jeden Zähler, dessen Zeitfenster mehr als 48 Stunden zurückliegt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der Schutz der Gutscheine vor Missbrauch.

Kündigungsweg

Verträge, die Sie unmittelbar mit uns geschlossen haben, können Sie über die Seite Verträge kündigen kündigen; sie führt zu einem Formular in der Browser-Fassung, das Sie ohne Anmeldung nutzen können. Zweck ist, Ihre Kündigung nach § 312k BGB entgegenzunehmen, zu bestätigen und auszuführen. Wir speichern dafür Ihren Namen, Ihre E-Mail-Adresse, Ihre freiwillige Angabe zum Vertrag, die Art der Kündigung (ordentlich oder außerordentlich), bei einer außerordentlichen Kündigung den Grund, den gewünschten Zeitpunkt, die Sprache, Datum und Uhrzeit des Eingangs und den Stand der Bearbeitung. Sind Sie dabei angemeldet, speichern wir zusätzlich Ihre Kontokennung.

Kündigen Sie angemeldet ordentlich zum nächstmöglichen Zeitpunkt und haben Sie genau ein laufendes Abo über Stripe, kündigen wir es dort selbsttätig zum Ende der Laufzeit und speichern die Kennung des Abos und das Enddatum. Jede andere Kündigung bearbeiten wir selbst; dabei halten wir fest, wann und von wem sie erledigt wurde, und eine Notiz dazu. Eine Bestätigung des Eingangs mit dem Inhalt Ihrer Erklärung schicken wir sofort an die angegebene E-Mail-Adresse (Abschnitt 2) und halten fest, ob sie hinausging.

Um den Kündigungsweg vor massenhaften Eingaben zu schützen, nehmen wir je E-Mail-Adresse höchstens drei und je IP-Adresse, von der die Anfrage kommt, höchstens fünf Kündigungen in der Stunde an. Dafür speichern wir nicht die Adressen selbst, sondern nur einen daraus berechneten Hashwert (SHA-256), dazu den Beginn des Zeitfensters und die Zahl der Eingaben; ein täglicher Löschlauf entfernt jeden Zähler, dessen Zeitfenster mehr als 48 Stunden zurückliegt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 312k BGB und, soweit es um die Beendigung Ihres Vertrags geht, Art. 6 Abs. 1 lit. b DSGVO; für die Begrenzung der Eingaben Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse ist der Schutz des Kündigungswegs vor Missbrauch. Eingegangene Kündigungen bewahren wir als Nachweis auf, auch über die Löschung Ihres Kontos hinaus (Abschnitt 13).

8. Programmierschnittstelle und Webhooks

In den kostenpflichtigen Tarifen können Sie eine Programmierschnittstelle nutzen und Webhooks einrichten, um Ihre Daten an ein eigenes System – etwa Ihre Warenwirtschaft – weiterzugeben. Dabei gilt:

Exportaufträge über die Schnittstelle

Über die Programmierschnittstelle kann Ihr eigenes System den Export eines Projekts als Datei anstoßen – als CSV-, JSON-, XML-, Excel- oder PDF-Datei oder in den Formaten GAEB X31 und REB DA11. Dazu speichern wir einen Auftrag mit Team, Projekt, gewünschtem Format und seinen Einstellungen (Zeilenart, Sprache), dem Stand des Auftrags, gegebenenfalls Fehlercode und Fehlertext, dem Dateinamen, den wir aus dem Projektnamen und dem Tag bilden, Ablageort und Größe der Datei, Hinweisen zur Datei, den Zeitpunkten und der Kennung des verwendeten Schlüssels. Die Datei erzeugt ein eigener Dienst auf unserem Server bei der Hetzner Online GmbH (Abschnitt 2): Er liest dafür die Daten des Projekts – Gliederung, Objekte, Bauelemente, Positionen des Leistungsverzeichnisses und die Änderungshistorie der Messwerte – und legt die Datei in einem nicht öffentlichen Bereich unseres Dateispeichers ab. Für eine PDF-Datei liest er zusätzlich die Firmenangaben Ihres Teams – unter anderem Name, Anschrift, Kontakt-, Steuer- und Bankangaben und die Akzentfarbe – und das Firmenlogo aus dem Dateispeicher (Abschnitt 5.3); Projektbeteiligte, Fotos und Unterschriften nimmt er in das PDF nicht auf. Eine Adresse zum Herunterladen erzeugen wir erst, wenn Ihr System den fertigen Auftrag abfragt, und nur, solange das Projekt in dem Team liegt, das den Auftrag gestellt hat. Sie gilt höchstens 24 Stunden, nie über die Aufbewahrung der Datei hinaus; eine schon ausgegebene Adresse gilt bis zu ihrem Ablauf weiter, auch wenn das Projekt inzwischen einem anderen Team zugeordnet ist. Die Adresse speichern wir nicht. Ist ein Auftrag fertig, melden wir das auf Wunsch über einen Webhook – mit Auftrag, Projekt und Format, ohne Datei und ohne Adresse.

Fehler dieses Dienstes gehen nicht in die Fehlerberichte aus Abschnitt 5.7, sondern nur in das Protokoll des Dienstes auf unserem Server. Es enthält Kennungen, Format, Dauer, Größe und Fehlercode, aber keine Inhalte wie Projektnamen, Anschriften oder Preise; wie lange es vorgehalten wird, richtet sich nach der Voreinstellung der Server-Software, eine eigene Frist haben wir bislang nicht festgelegt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; für die Daten Dritter in Ihren Projekten gilt Abschnitt 5.4. Wie lange Auftrag und Datei aufbewahrt werden, steht in Abschnitt 13.

Importaufträge über die Schnittstelle

Über die Programmierschnittstelle kann Ihr eigenes System auch ein Leistungsverzeichnis einlesen lassen – als GAEB-, Excel- oder CSV-Datei –, als neues Projekt oder angehängt an ein bestehendes Projekt Ihres Teams. Dazu speichern wir einen Auftrag wie bei einem Export: Team, Projekt, die Art des Einlesens, den Dateinamen, den Ihr System angibt, die Angabe zum Dezimaltrennzeichen, den Stand des Auftrags, gegebenenfalls Fehlercode und Hinweise, die Zeitpunkte und die Kennung des verwendeten Schlüssels. Die hochgeladene Datei – sie kann Projektnamen, Anschriften und Preise enthalten – legen wir bis zum Abschluss des Auftrags in einem nicht öffentlichen Bereich unseres Dateispeichers ab. Unser Dienst auf unserem Server (oben) liest sie, legt die Positionen des Leistungsverzeichnisses – bei einem neuen Projekt auch das Projekt – in Ihrem Team an und löscht die Datei, sobald der Auftrag endgültig abgeschlossen oder endgültig gescheitert ist. Die angelegten Positionen gehören danach zu den Daten Ihres Teams und erreichen dessen Geräte beim Abgleich (Abschnitt 5.3). Ist der Auftrag fertig, melden wir das auf Wunsch über einen Webhook. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; für die Daten Dritter gilt Abschnitt 5.4. Wie lange Auftrag und Datei aufbewahrt werden, steht in Abschnitt 13.

9. Zugriff des Betreibers

Für Betrieb und Unterstützung führen wir ein eigenes Verwaltungsportal, das nur uns zugänglich ist. Es verlangt eine Anmeldung mit zweitem Faktor und kann zusätzlich auf bestimmte Netzadressen beschränkt werden.

In der Rolle mit den weitesten Rechten lassen sich dort Konten, Teams, Tarife und Freischaltungen verwalten sowie Projekt-, Objekt- und Belegdaten einsehen – einschließlich der vollständigen Angaben zu Ihren Projektbeteiligten (Name, Firma, Anschrift, E-Mail-Adresse, Telefonnummer, Umsatzsteuer-Identifikationsnummer, Leitweg-ID, Notiz). Die eingeschränkte Rolle für die reine Unterstützung hat auf diese Datenansicht überhaupt keinen Zugriff: Jeder Aufruf wird dort abgewiesen, nicht nur der auf Rechnungsdaten.

Protokolliert wird nicht jeder Blick, sondern das Öffnen eines einzelnen Datensatzes – eines Projekts, eines Objekts und eines Belegs. Nicht protokolliert wird das Blättern in den Listen und das Aufrufen der übrigen Ansichten; dazu gehören Räume, Aufmaßblätter, Positionen des Leistungsverzeichnisses, die Firmenstammdaten, die Dateiliste und die Liste Ihrer Projektbeteiligten. Der Grund ist, dass ein Protokoll, das jeden Seitenwechsel festhält, nach kurzer Zeit nicht mehr auswertbar wäre; wir nennen es hier trotzdem, damit niemand aus dem Protokoll mehr schließt, als darin steht.

Protokolliert wird außerdem jeder abgewiesene Zugriffsversuch; dabei wird auch die IP-Adresse gespeichert. Dieses Prüfprotokoll ist technisch unveränderlich. Rechtsgrundlage für den Zugriff ist Art. 6 Abs. 1 lit. b und lit. f DSGVO (Erbringung und Unterstützung des Dienstes, Missbrauchs- und Fehlersuche), für das Protokoll Art. 6 Abs. 1 lit. f in Verbindung mit Art. 5 Abs. 2 DSGVO (Rechenschaftspflicht).

Auf dem Server arbeiten außerdem Personen mit administrativem Zugang an Wartung und Fehlersuche; dabei können Server- und Datenbankausgaben eingesehen werden, die E-Mail- und IP-Adressen enthalten können. Diese Zugänge sind auf den erforderlichen Kreis beschränkt und an unsere Weisungen gebunden.

10. Sicherungskopien

Die Datenbank und den Dateispeicher sichern wir regelmäßig. Jede Sicherung wird verschlüsselt, bevor sie den Server verlässt, und in einen Sicherungsspeicher der Hetzner Online GmbH in deren Rechenzentrum in Falkenstein, Deutschland, ausgelagert. Aufbewahrt werden am Server die 14 und im Sicherungsspeicher die 30 jüngsten Stände, jeweils getrennt für Datenbank und Dateispeicher; ältere Stände werden nach jedem erfolgreichen Lauf gelöscht. Läuft die Sicherung wie vorgesehen einmal täglich, entspricht das etwa 14 beziehungsweise 30 Tagen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit Art. 32 DSGVO (Verfügbarkeit und Wiederherstellbarkeit). Was das für eine Löschung bedeutet, steht in Abschnitt 13.

11. Empfänger im Überblick

Über die in den vorstehenden Abschnitten genannten Fälle hinaus geben wir personenbezogene Daten nicht weiter – insbesondere nicht zu Werbezwecken und nicht an Datenhändler. Empfänger sind heute ausschließlich:

Darüber hinaus geben wir Daten heraus, wenn wir gesetzlich dazu verpflichtet sind oder Sie eingewilligt haben. Verlassen Daten Ihr Gerät über den Export – etwa als PDF, Excel- oder GAEB-Datei, die Sie selbst weitergeben oder mit dem Mailprogramm Ihres Geräts versenden –, bestimmen allein Sie den Empfänger; wir erfahren davon nichts.

12. Was nicht stattfindet

Die folgenden Aussagen sind am ausgelieferten Programmstand überprüfbar und gelten für Website, App und Browser-Fassung gleichermaßen:

13. Speicherdauer

Die Dauer richtet sich nach der Datenkategorie. Wo unten „ein täglicher Löschlauf“ steht, entfernt ein automatischer Lauf auf unserem Server die Einträge einmal am Tag, sobald ihre Frist abgelaufen ist; ein Eintrag kann deshalb bis zu einem Tag länger stehen als angegeben.

14. Ihre Rechte

Ihnen stehen nach der DSGVO folgende Rechte zu:

Für die Auskunft nach Art. 15 DSGVO genügt eine formlose Mitteilung an die in Abschnitt 1 genannte Adresse. Wir antworten unverzüglich, spätestens innerhalb eines Monats (Art. 12 Abs. 3 DSGVO). Bestehen begründete Zweifel an Ihrer Identität, fragen wir nach (Art. 12 Abs. 6 DSGVO).

Zwei Rechte können Sie außerdem unmittelbar in der App ausüben:

15. Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren (Art. 77 DSGVO). Für uns zuständig ist der

Hessische Beauftragte für Datenschutz und Informationsfreiheit, Wiesbaden.

Die aktuellen Kontaktangaben veröffentlicht die Behörde selbst. Sie können sich unabhängig davon auch an die Aufsichtsbehörde Ihres Aufenthaltsorts wenden.

16. Änderungen dieser Datenschutzerklärung

Wir passen diese Erklärung an, wenn sich die beschriebenen Verarbeitungen ändern oder rechtliche Anforderungen es verlangen. Maßgeblich ist die jeweils hier veröffentlichte Fassung mit dem oben genannten Stand. Die Fassungen in anderen Sprachen sind Übersetzungen; bei Abweichungen gilt die deutsche Fassung.