Datenschutzerklärung

1. Verantwortlicher

Verantwortlich im Sinne der DSGVO ist:

Für alle Fragen zum Datenschutz und für die Ausübung Ihrer Rechte genügt eine E-Mail an diese Adresse.

2. Das Wichtigste in Kürze

• Die Website setzt keine Cookies, nutzt keine Analyse-, Tracking- oder Werbedienste und lädt keine Inhalte von fremden Servern.
• Datenbank, Anmeldung und Fotos der App liegen in einem Rechenzentrum in Frankfurt am Main.
• Inhalte, die ein Unternehmen in BauMilo erfasst – Berichte, Arbeitszeiten, Fotos, Unterschriften –, verarbeiten wir nur im Auftrag und nach Weisung dieses Unternehmens.
• Wir verkaufen keine Daten, erstellen keine Profile und treffen keine automatisierten Entscheidungen.

3. Die Website von BauMilo

Aufruf der Website

Die Website wird von Vercel Inc. (USA) ausgeliefert. Bei jedem Aufruf verarbeitet Vercel technisch notwendige Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, übertragene Datenmenge, Browser und Betriebssystem. Zweck ist die Auslieferung der Website und ihre Sicherheit, etwa die Abwehr von Angriffen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im sicheren Betrieb. Vercel speichert diese Protokolle nur für kurze Zeit; wir werten sie nicht aus. Zur Übermittlung in die USA siehe Abschnitt 16.

Keine Cookies, keine Analyse

Die Website setzt keine Cookies und verwendet keine Analyse-, Tracking- oder Werbedienste, keine Social-Media-Plugins und keine Schriften oder Skripte von fremden Servern.

Hell oder dunkel

Wählen Sie in der Kopfzeile der Website das helle oder dunkle Aussehen, speichert Ihr Browser diese Wahl unter „baumilo.website.theme“ auf Ihrem Gerät. Wir erhalten davon nichts. Die Wahl bleibt, bis Sie die Website-Daten in Ihrem Browser löschen. Rechtsgrundlage ist Art. 5 Abs. 3 der Richtlinie 2002/58/EG (in Deutschland § 25 Abs. 2 Nr. 2 TDDDG), da Sie diese Funktion selbst auswählen.

Wechsel in die App

„Anmelden“ und „Zugang anfragen“ führen zur App unter app.baumilo.de. Dort gelten die Abschnitte 4 bis 20.

4. Die App: wer wofür verantwortlich ist

BauMilo ist eine App für Bauunternehmen. Nutzer sind die Inhaberinnen und Inhaber dieser Unternehmen und ihre Beschäftigten.

• Wir sind verantwortlich für die Bereitstellung und Sicherheit der App, für Benutzerkonten und Anmeldung, für Zugangsanfragen neuer Unternehmen, für Fehler- und Sicherheitsprotokolle, für Sicherungen und für den Nachweis bestätigter Rechtstexte.
• Das Unternehmen, für das Sie BauMilo nutzen, ist verantwortlich für alle Inhalte, die es in BauMilo erfasst: Projekte, Berichte, Arbeitszeiten, Fotos, Unterschriften und Angaben zu Auftraggebern und Ansprechpartnern. Diese Inhalte verarbeiten wir als Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage eines Vertrags zur Auftragsverarbeitung mit dem Unternehmen.
• Fragen zu diesen Inhalten richten Sie bitte an das Unternehmen, das sie erfasst hat. Anfragen, die uns erreichen, leiten wir dorthin weiter.

5. Aufruf der App

Beim Aufruf von app.baumilo.de übermittelt Ihr Browser technisch notwendige Daten, die in Protokollen unserer Dienstleister gespeichert werden: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Browser und Betriebssystem. Vercel Inc. liefert die App aus. Supabase Inc. betreibt Anmeldung, Datenbank und Dateispeicher in einem Rechenzentrum in Frankfurt am Main.

Zweck ist die Auslieferung der App, ihre Sicherheit und das Erkennen von Störungen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im sicheren und stabilen Betrieb. Die Anbieter löschen diese Protokolle nach kurzer Zeit, Supabase nach wenigen Tagen.

6. Schutz vor Missbrauch (Cloudflare Turnstile)

Bei der Anmeldung, der Registrierung, „Passwort vergessen“, dem erneuten Senden der Bestätigungs-E-Mail und der Änderung des Passworts setzen wir Cloudflare Turnstile der Cloudflare, Inc. (USA) ein, um automatisierte Zugriffe zu erkennen. Turnstile verarbeitet dazu Ihre IP-Adresse, Merkmale Ihrer Verbindung und Ihres Browsers sowie die Adresse der aufrufenden Seite und kann dafür Informationen in Ihrem Browser ablegen, die ausschließlich der Erkennung von Bots dienen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im Schutz der Konten vor Angriffen. Für die Speicherung im Browser gilt Art. 5 Abs. 3 der Richtlinie 2002/58/EG (in Deutschland § 25 Abs. 2 Nr. 2 TDDDG). Nach Angaben von Cloudflare nutzt Cloudflare diese Signale auch, um seine Bot-Erkennung zu verbessern; dafür ist Cloudflare selbst verantwortlich. Weitere Informationen: https://www.cloudflare.com/turnstile-privacy-policy/

7. Zugangsanfrage für ein neues Unternehmen

Über „Zugang anfragen“ können Unternehmen einen Zugang zu BauMilo anfragen. Wir verarbeiten dabei den Namen des Unternehmens, den Namen der Ansprechperson, die E-Mail-Adresse und freiwillig eine Telefonnummer und eine Nachricht. Wir vermerken außerdem Status und Entscheidung. Die IP-Adresse speichern wir dabei nicht. Mit derselben E-Mail-Adresse sind höchstens drei Anfragen pro Tag möglich.

Zweck ist die Prüfung der Anfrage und die Eröffnung des Zugangs. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen). Nur wir als Betreiber sehen die Anfrage. Über eine neue Anfrage benachrichtigt uns eine automatische E-Mail an unsere Adresse konto@baumilo.de, mit den Angaben der Anfrage (Versand über Resend, Abschnitt 16).

• Offene Anfragen löschen wir 90 Tage nach Eingang.
• Abgelehnte Anfragen löschen wir 90 Tage nach der Ablehnung.
• Angenommene Anfragen löschen wir 180 Tage nach der Entscheidung.

8. Benutzerkonto und Anmeldung

Ein Konto erhalten Sie über eine Einladung Ihres Unternehmens oder, als Inhaberin oder Inhaber, über den Link, den wir Ihnen bei der Eröffnung Ihres Unternehmens geben. Wir verarbeiten:

• E-Mail-Adresse, vollständigen Namen, Passwort (nur als verschlüsselter Hashwert), Rolle und Unternehmen;
• die Zeitpunkte der Bestätigung und der letzten Anmeldung;
• je Anmeldesitzung die IP-Adresse und die Browserkennung;
• freiwillig ein Profilfoto, das Ihr Unternehmen sieht, und eine Text-Signatur, etwa Name und Funktion unter Ihren Berichten.

Zweck ist die Bereitstellung des Zugangs, der Schutz Ihres Kontos und die Zuordnung zu Ihrem Unternehmen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; soweit Sie BauMilo im Auftrag Ihres Arbeitgebers nutzen, Art. 6 Abs. 1 lit. f DSGVO, denn unser berechtigtes Interesse liegt darin, unserem Kunden den Zugang für seine Beschäftigten bereitzustellen.

E-Mails zum Konto. Zur Bestätigung Ihrer Adresse und zum Zurücksetzen des Passworts senden wir Ihnen E-Mails. Der Versand erfolgt über Supabase Inc.

Angemeldet bleiben. Mit dieser Wahl bleibt Ihre Anmeldung auf dem Gerät gespeichert, bis Sie sich abmelden; ohne sie gilt sie nur bis zum Schließen des Browser-Tabs. Das Abmelden beendet die Anmeldung auf allen Geräten. Eine Änderung des Passworts meldet alle anderen Geräte ab.

Wer Ihre Angaben sieht. Ihren Namen sehen die Personen Ihres Unternehmens, mit denen Sie zusammenarbeiten; Ihre E-Mail-Adresse sieht insbesondere die Inhaberin oder der Inhaber Ihres Unternehmens. Ihr Unternehmen kann Ihr Konto sperren oder löschen. Ein gesperrtes Konto verliert die Anmeldung auf allen Geräten.

9. Einladungen

Für eine Einladung erfasst Ihr Unternehmen Ihre E-Mail-Adresse, freiwillig Ihren Namen, Ihre Rolle, das Projekt und die Zugriffsstufe. Der Einladungslink ist 7 Tage gültig, einmal nutzbar und nur mit der eingeladenen E-Mail-Adresse verwendbar; wir speichern ihn nur als Hashwert. Wir versenden Einladungen nicht selbst: Die einladende Person übermittelt den Link mit ihrem eigenen E-Mail-Programm oder auf anderem Weg.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Aufnahme neuer Personen in das Unternehmen unseres Kunden. Einladungen löschen wir 30 Tage nach Ablauf ihres Links, auch angenommene und widerrufene.

10. Inhalte in der App (im Auftrag Ihres Unternehmens)

In BauMilo erfassen Unternehmen Daten zu ihren Baustellen. Wir verarbeiten sie als Auftragsverarbeiter (Abschnitt 4). Zu Ihrer Information:

• Berichte (Arbeitsbericht, Regiebericht, Leistungsabruf): Nummer, Datum, Projekt, Auftraggeber, beauftragende Person, Kostenstelle, Ort, ausgeführte Arbeiten, Namen der Beschäftigten mit Arbeitszeiten, Geräte, Material, Leistungspositionen und das Wetter des Tages.
• Fotos mit Beschreibung. Die App verkleinert jedes Foto auf dem Gerät und entfernt dabei eingebettete Metadaten wie Standortangaben.
• Unterschriften der erstellenden Person und gegebenenfalls einer Person des Auftraggebers, jeweils als Bild mit Datum und Uhrzeit. Vor der Unterschrift des Auftraggebers weist die App darauf hin, dass sie im Bericht gespeichert wird.
• Projekte mit Ansprechpartnern des Auftraggebers, Projektleitung, Aufgaben, Kalendernotizen, Material mit Anhängen, Geräten einschließlich der bedienenden Person und dem Leistungsverzeichnis.
• Mitarbeiterkarten und Auswertungen, etwa Arbeitsstunden je Person. Auswertungen je Person sehen nur die Inhaberin oder der Inhaber und Admins.
• Verläufe: wer einen Bericht erstellt, geändert, archiviert, wiederhergestellt oder exportiert hat und wer Abrechnungsdaten geändert hat.

Wer welche Inhalte sieht, bestimmen Rolle und Zugriffsstufe im Projekt. Beschäftigte mit der Stufe „Baustelle (Ausführung)“ lesen auch die Arbeitsberichte ihrer Kolleginnen und Kollegen im selben Projekt; ändern können sie nur ihre eigenen. Unternehmen sind in der Datenbank vollständig voneinander getrennt.

Welche Inhalte Ihr Unternehmen erfasst, wozu und wie lange es sie aufbewahrt, entscheidet Ihr Unternehmen; es informiert Sie darüber. Auf die Inhalte greifen wir nur zu, soweit es für Betrieb, Sicherung und Fehlerbehebung erforderlich ist oder das Unternehmen uns dazu anweist.

11. Wetter (Deutscher Wetterdienst über Bright Sky, Ortssuche über Photon)

BauMilo zeigt im Dashboard das Wetter am Ort der Baustelle und übernimmt auf Wunsch das Wetter eines Tages in einen Bericht. Dazu ruft Ihr Browser zwei Dienste direkt auf:

• Photon, betrieben von der komoot GmbH, Potsdam, wandelt den Ortsnamen der Baustelle aus den Projekteinstellungen in Koordinaten um. Das Ergebnis bleibt 30 Tage auf Ihrem Gerät gespeichert.
• Bright Sky, ein Open-Source-Projekt von Jakob de Maeyer (https://brightsky.dev), liefert die Daten des Deutschen Wetterdienstes für diese Koordinaten und gegebenenfalls ein Datum.

Übermittelt werden nur der Ortsname aus den Projekteinstellungen, die daraus ermittelten Koordinaten, gegebenenfalls das Datum und technisch bedingt Ihre IP-Adresse – keine Namen, keine Berichtsinhalte. Im Dashboard wird das Wetter beim Öffnen abgefragt, wenn das Projekt einen Baustellenort hat; im Bericht nur, wenn Sie „Wetter übernehmen“ wählen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einer aktuellen Wetterangabe für die Baustelle. Datenbasis: Deutscher Wetterdienst.

12. Fehlerprotokolle

Tritt in der App ein Fehler auf, speichern wir einen Fehlerbericht: Zeitpunkt, betroffenen Bereich, Fehlermeldung, technische Details, App-Version und die Kennungen von Konto und Unternehmen. E-Mail-Adressen, Zugangsschlüssel, Passwörter und Bilddaten werden vorher entfernt. Zweck ist die Behebung von Fehlern und die Stabilität der App. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Fehlerberichte löschen wir nach 90 Tagen.

13. Zugriffs- und Verlaufsprotokolle

Wir protokollieren sicherheitsrelevante Vorgänge in einem Unternehmen: das Gewähren und Entziehen von Projektzugriffen, das Sperren, Entsperren und Löschen von Konten, das Löschen und Wiederherstellen von Projekten und die Übergabe des Unternehmens. Ebenso protokollieren wir Ereignisse zu Berichten, etwa Export oder Versand, und Änderungen an Geräten.

Zweck sind Nachvollziehbarkeit und der Schutz vor Missbrauch. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Wir löschen diese Einträge nach 12 Monaten. Solange ein gelöschtes Projekt im Papierkorb liegt, bleibt der Eintrag über seine Löschung erhalten.

14. Bestätigung der Rechtstexte

Bittet die App Sie, diese Datenschutzerklärung zur Kenntnis zu nehmen oder – als Inhaberin oder Inhaber – die Nutzungsbedingungen und den Vertrag zur Auftragsverarbeitung anzunehmen, speichern wir das Dokument, die Fassung und den Zeitpunkt, ohne IP-Adresse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 5 Abs. 2 und Art. 28 DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO (Nachweis). Wir speichern die Angaben, solange Ihr Konto besteht.

15. Datensicherung

Wir sichern die Datenbank täglich und die Datenbank mit allen Dateien wöchentlich. Die Sicherungen sind verschlüsselt (AES-256) und werden bei GitHub, Inc. (USA) gespeichert und dort erstellt und geprüft; dabei werden die Daten kurzzeitig unverschlüsselt verarbeitet. Tägliche Sicherungen bewahren wir 8 Tage auf, wöchentliche 28 Tage. Gelöschte Daten sind bis zum Ablauf dieser Fristen noch in Sicherungen enthalten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit Art. 32 DSGVO.

16. Dienstleister und Übermittlung in Drittländer

Wir setzen folgende Dienstleister als Auftragsverarbeiter ein:

• Vercel Inc. (USA): Auslieferung der Website und der App über ein weltweites Netz. https://vercel.com/legal/privacy-policy
• Supabase Inc. (USA): Datenbank, Anmeldung und Dateispeicher. Die Daten liegen in einem Rechenzentrum in Frankfurt am Main. https://supabase.com/privacy
• Resend, Inc. (USA): Versand der E-Mails zum Konto (Bestätigung, neues Passwort, Einladung) und unserer Benachrichtigung über Zugangsanfragen. https://resend.com/legal/privacy-policy
• GitHub, Inc. (USA): Erstellung und Speicherung der verschlüsselten Sicherungen. https://docs.github.com/site-policy/privacy-policies/github-general-privacy-statement
• Cloudflare, Inc. (USA): Schutz vor Missbrauch (Abschnitt 6). https://www.cloudflare.com/privacypolicy/

Photon und Bright Sky (Abschnitt 11) erhalten die genannten Angaben direkt von Ihrem Browser.

Drittländer. Die genannten Dienstleister haben ihren Sitz in den USA; ein Zugriff aus den USA ist möglich. Soweit ein Anbieter unter dem EU-US Data Privacy Framework zertifiziert ist, erfolgt die Übermittlung auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission (Art. 45 DSGVO), im Übrigen auf Grundlage von EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Eine Kopie der Garantien erhalten Sie auf Anfrage.

Weitere Empfänger. Einladungen und Berichte per E-Mail versenden Sie mit Ihrem eigenen E-Mail-Programm; dafür ist Ihr E-Mail-Anbieter zuständig. Beim Teilen eines Berichts wird nur ein Link weitergegeben, der den Bericht ausschließlich für angemeldete Personen mit Zugriff öffnet.

17. Speicherung auf Ihrem Gerät (App)

BauMilo setzt keine Cookies. Im Speicher Ihres Browsers legt die App nur Einträge ab, die für die von Ihnen genutzten Funktionen erforderlich sind (Art. 5 Abs. 3 der Richtlinie 2002/58/EG, in Deutschland § 25 Abs. 2 Nr. 2 TDDDG):

• Ihre Anmeldung und Ihre Wahl „Angemeldet bleiben“. Die Anmeldung wird beim Abmelden gelöscht.
• Eine Sicherheitskopie des Berichts, den Sie gerade schreiben, damit bei einem Verbindungsabbruch nichts verloren geht. Sie wird beim Speichern, beim Verwerfen und beim Abmelden gelöscht, spätestens nach 7 Tagen.
• Berichte, die Sie ohne Verbindung speichern, und Fotos, die Sie ohne Verbindung aufnehmen. Sie bleiben auf dem Gerät, bis sie gesendet sind, und werden beim Verwerfen oder beim Abmelden gelöscht; Fotos ohne Bericht nach 7 Tagen.
• Eine Kopie der zuletzt geladenen Daten Ihres Unternehmens (Berichte, Projekte, Mitarbeiter, Geräte, Material), damit die App auf der Baustelle auch ohne Verbindung startet. Sie wird bei jedem Start erneuert und beim Abmelden gelöscht, ebenso sobald Ihr Zugang gesperrt oder geändert wird. Ohne Verbindung öffnet sich keine Kopie, die älter als 7 Tage ist; sie wird dann gelöscht.
• Zuletzt verwendete Empfänger und Eingabelisten (Projekte, Auftraggeber, beauftragende Personen, Kostenstellen, Orte), gespeichert für Ihr Konto.
• Gespeicherte Filter einer Auswertung und ausgeblendete Hinweise.
• Anzeige-Einstellungen wie Design, Dichte und reduzierte Bewegung.
• Das Wetter für 30 Minuten und die Koordinaten eines Baustellenorts für 30 Tage.
• Die Programmdateien der App, damit sie schnell und auch ohne Verbindung startet. Sie enthalten keine Inhalte.

Ihr Browser kann geöffnete Fotos zwischenspeichern. Alle Einträge können Sie über die Einstellungen Ihres Browsers löschen.

18. Speicherdauer und Löschung

• Konto: bis zur Löschung. Sie können Ihr Konto in der App unter „Konto & Sicherheit“ selbst löschen; die Inhaberin oder der Inhaber eines Unternehmens übergibt das Unternehmen vorher an eine andere Person.
• Bei der Löschung Ihres Kontos entfernen wir E-Mail-Adresse, Namen, Passwort, Sitzungen, Profilfoto, Text-Signatur und die Adresse aus der Einladung. In Verläufen erscheint „Gelöschtes Konto“. Berichte und andere Inhalte Ihres Unternehmens, auch mit Ihrem darin eingetragenen Namen, bleiben beim Unternehmen; über ihre Aufbewahrung entscheidet das Unternehmen.
• Projekte im Papierkorb: Ein Projekt ohne Berichte wird nach 30 Tagen endgültig gelöscht; ein Projekt mit Berichten bleibt, bis die Inhaberin oder der Inhaber es endgültig löscht.
• Daten eines Unternehmens nach Vertragsende: Das Unternehmen erhält einen Export seiner Daten. Wir löschen die Daten innerhalb von 30 Tagen nach Vertragsende, aus den Sicherungen spätestens 28 Tage danach. Gesetzliche Aufbewahrungspflichten des Unternehmens erfüllt das Unternehmen mit seinem Export.
• Zugangsanfragen, Einladungen, Fehler- und Zugriffsprotokolle, Sicherungen: wie in den Abschnitten 7, 9, 12, 13 und 15 beschrieben.

19. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Schreiben Sie uns dazu an die Adresse in Abschnitt 1. Betrifft Ihr Anliegen Inhalte, die Ihr Unternehmen erfasst hat, ist Ihr Unternehmen zuständig; wir unterstützen es dabei.

Widerspruchsrecht. Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO).

Beschwerderecht. Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem Mitgliedstaat Ihres Aufenthalts, Ihres Arbeitsplatzes oder des mutmaßlichen Verstoßes (Art. 77 DSGVO). Für uns zuständig ist die rumänische Datenschutzbehörde ANSPDCP (Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal), B-dul G-ral. Gheorghe Magheru 28-30, 010336 Bukarest, https://www.dataprotection.ro.

20. Weitere Hinweise

• Für ein Konto sind E-Mail-Adresse und Name erforderlich; ohne sie können wir kein Konto einrichten.
• Wir treffen keine automatisierten Entscheidungen im Sinne von Art. 22 DSGVO und erstellen keine Profile.
• Wir passen diese Datenschutzerklärung an, wenn sich die Verarbeitung ändert. Eine neue Fassung legt Ihnen die App zur Kenntnisnahme vor.