Datenschutzerklärung

1. Datenschutz auf einen Blick

StructFire ist eine Webanwendung zur Baudokumentation im baulichen Brandschutz. Wir verarbeiten nur die Daten, die für Konto, Projekte, Sicherheit, Reichweitenmessung und gesetzliche Pflichten nötig sind. Es findet kein Werbe-Tracking und kein Profiling zu Werbezwecken statt. Verantwortlich ist eine Privatperson.

2. Verantwortliche Stelle

Andreas Blaschke
c/o POSTFLEX PFX-833-226
Emsdettener Straße 10, 48268 Greven
Deutschland
E-Mail: info@structfire.de

3. Welche Daten wir verarbeiten

4. Zwecke und Rechtsgrundlagen

5. Speicherung auf Ihrem Gerät

6. Cookies und lokale Speicherung

Zur Sitzung setzen wir zwei technisch notwendige Cookies namens „token“ und „sf_refresh“ (HttpOnly, SameSite=Lax). Sie gelten nur für das Gerät, auf dem Sie sich angemeldet haben. Abmelden beendet nur diese Anmeldung, nicht die auf anderen Geräten. Ohne „30 Tage angemeldet bleiben“ endet die Anmeldung mit dem Schließen des Browsers, spätestens nach 12 Stunden. Mit gesetztem Häkchen bleibt die Anmeldung 30 Tage ab der Anmeldung, auch ohne Internet und auch für Administratoren. Danach ist eine neue Anmeldung nötig. Der Code aus der Authenticator-App ist beim ersten Anmelden und danach alle 30 Tage nötig, sobald wieder Internet da ist. Den zugehörigen Schlüssel speichern wir verschlüsselt auf unserem Server. Ohne Internet bleibt die Anmeldung auf dem Gerät, auch wenn die 30 Tage schon abgelaufen sind. Zusätzlich speichert der Browser die unter Ziffer 5 genannten Werte in localStorage, darunter das Ende der Anmeldung (sf_session_until). Beides ist für Anmeldung und Sprachwahl erforderlich. Die Reichweitenmessung (Matomo) setzt keine Cookies. Es gibt keine Werbe-Cookies und kein Profiling zu Werbezwecken.

7. Hosting und Auftragsverarbeitung

Die Anwendung, Dateien (u. a. Grundrisse, Fotos, Avatare) und die Datenbank liegen auf Servern in der Europäischen Union. Diese Website wird bei der netcup GmbH, Emmy-Noether-Str. 10, 76131 Karlsruhe, Deutschland betrieben. Mit netcup besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Die optionale Spracheingabe in der Pin-Maske und im Bautagebuch (nur für Projektleiter und Bauleiter) wertet die Aufnahme mit einem Spracherkennungsprogramm auf demselben Server in Karlsruhe aus; ein ebenfalls dort laufendes Sprachmodell ordnet den erkannten Text den Feldern der Maske zu. Aufnahme und Text werden nicht gespeichert und nicht an Dritte weitergegeben, auch nicht an externe KI-Anbieter. Ohne Netz läuft die Erkennung ausschließlich auf Ihrem Gerät; das dafür nötige Sprachpaket wird einmalig (bei WLAN automatisch) auf das Gerät geladen.

8. Aufbewahrungsdauer

9. E-Mail-Versand

Für Betriebs-E-Mails nutzen wir den E-Mail-Dienst der netcup GmbH, Karlsruhe. Dazu gehören: Eingang der Registrierung, Hinweis an den Administrator, Freischaltung, Einladungen ins Projekt, Passwort zurücksetzen, Bestätigung einer neuen E-Mail-Adresse, Hinweis an die bisherige Adresse nach der Änderung, Warnung vor Demo-Ende, Hinweis vor Lizenz-Ablauf, Hinweis zur geplanten Kontolöschung mit Abbruch-Link, Bestätigung nach Abbruch oder nach endgültiger Kontolöschung Bestätigung nach einer Kontakt- oder Support-Nachricht sowie Antworten auf Kontaktanfragen. Verarbeitet werden Empfängeradresse und Nachrichteninhalt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO.

10. Registrierung, Freischaltung und Kontakt

Bei der öffentlichen Registrierung legen wir ein Konto an, das zunächst gesperrt bleibt. Die Person bestätigt zuerst die E-Mail-Adresse über einen Link. Ohne diese Bestätigung erhalten wir keine Meldung. Danach schaltet der Administrator das Konto frei. Über einen gültigen Einladungslink ist das Konto sofort nutzbar. Kontaktformular-Angaben nutzen wir nur zur Bearbeitung der Anfrage. Eine Weitergabe an Unbeteiligte erfolgt nicht ohne Rechtsgrundlage.

11. Zahlungsabwicklung (Lizenzen)

Für kostenpflichtige Lizenzen setzen wir Stripe (Stripe Payments Europe, Ltd.) ein. Zahlungsdaten gehen direkt an Stripe. Wir speichern bei uns die Stripe-Kunden- und Abo-Kennung sowie den Lizenzstatus, keine vollständige Kartennummer. Weitere Informationen: stripe.com/de/privacy. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Ohne Lizenzbuchung findet keine Übermittlung an Stripe statt.

12. Schriften und Bibliotheken

Schriftarten (Inter), das Gestaltungs-Framework Tailwind CSS und die Hilfsbibliothek für Pläne (pdf.js) liegen auf unserem Server in der EU. Es werden keine Schriften oder CSS-Dateien von Google Fonts, jsDelivr oder cdnjs geladen. Zusätzlich kann – nur soweit genutzt – Stripe.js geladen werden.

13. Bot-Schutz

Öffentliche Formulare enthalten unsichtbare Fallen (Honeypots) und eine kurze Zeitprüfung. Menschen lassen diese Felder leer. Wenn sie ausgefüllt werden oder das Formular unnatürlich schnell abgeschickt wird, verwerfen wir die Anfrage. Die Fallen-Inhalte speichern wir nicht; nach außen sieht die Antwort wie ein normaler Erfolg bzw. wie ein üblicher Anmeldefehler aus. Ein zusätzliches Rätsel ist vorgesehen und noch nicht eingeschaltet. Solange es aus ist, gehen dafür keine Angaben an einen anderen Dienst. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Missbrauchsabwehr).

14. Server-Protokolle

Die Anwendung und der vorgeschaltete Webserver (Nginx) schreiben Zugriffsprotokolle (u. a. IP-Adresse, Uhrzeit, aufgerufene Adresse, Statuscode). Freigabe-, Einladungs- und Share-Schlüssel in der Adresse werden in den Anwendungs- und Nginx-Protokollen unkenntlich gemacht. Zweck ist der sichere Betrieb und die Fehlersuche. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

19. Support-Chat

Nach dem Login können Sie uns unter „Support“ schreiben und anrufen (Sprache, Bild, Bildschirm teilen). Dafür nutzen wir die kostenlose Software Nextcloud Talk auf demselben Server bei der netcup GmbH in Karlsruhe. Verarbeitet werden Ihr Name aus dem Konto, der Gesprächsverlauf und bei einem Anruf die Verbindungsdaten. Anrufe werden nicht aufgezeichnet. Wenn wir ein Gespräch als erledigt markieren, löschen wir den Chat 24 Stunden später. Wenn Handy oder Computer keine direkte Verbindung aufbauen können, leitet der Vermittlungsdienst coturn die Sprach- und Bilddaten für die Dauer des Anrufs über denselben Server. coturn ist freie Software, läuft nur bei uns, speichert das Gespräch nicht und schickt nichts an Google, Microsoft oder andere Anbieter. Im kurzen technischen Protokoll dieses Dienstes kann die IP-Adresse stehen; dieses Protokoll löschen wir nach 14 Tagen. Wenn Sie Hinweise in der App erlauben, speichern wir nur die technische Adresse Ihres Browsers, damit eine neue Nachricht oder ein Anruf auch bei geschlossener Seite ankommt. Diese Adresse bleibt auf unserem Server. Eine Nachricht über das E-Mail-Formular auf der Support-Seite geht an support@structfire.de. Mitgeschickte Bilder hängen an dieser E-Mail. In Nora liegt derselbe Schriftwechsel als Vorgang auf unserem Server, inklusive der Bilder, damit wir antworten können. Sie erhalten eine Bestätigung an die E-Mail Ihres Kontos. Antworten darauf gehen an support@structfire.de. Das Kontaktformular wird genauso als Vorgang geführt, an contact@structfire.de. Post an info@structfire.de und admin@structfire.de liegt ebenfalls als Vorgang in Nora. Schaltet der Administrator Hinweise ein, bekommt dieses Gerät bei neuer Post eine Meldung und einen kurzen Ton. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Support zur Nutzung) und lit. f (sicherer Betrieb der Anrufe).

20. Bautagebuch

Im Bautagebuch speichern wir je Projekt und Tag den Bericht der eigenen Firma: Wetter, anwesende Personen aus dem Projektteam sowie Namen von Besuch ohne eigenes Konto mit Rolle und Stunden, Leistungen, Geräte und Werkzeuge, Lieferungen, Namen von Nachunternehmern mit Stunden, E-Mail und Telefon der eigenen Firma, Anordnungen, Behinderungen, ein Ja oder Nein zu einem Unfall ohne Diagnose, ausgewählte Baustellenfotos sowie die gezeichnete Unterschrift mit Name, Rolle und Uhrzeit. Zweck ist der Nachweis der eigenen Arbeit auf der Baustelle und die Abgabe mit der Baudokumentation. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag) und lit. f (Beweissicherung). Für Beschäftigte kommt § 26 Abs. 1 BDSG hinzu, soweit die Angaben für das Arbeitsverhältnis nötig sind. Namen im unterschriebenen Bericht bleiben gespeichert, auch wenn das Konto später geschlossen wird, weil der Bericht sonst als Nachweis nichts mehr taugt. Die Speicherung folgt der Baudokumentation des Projekts, praktisch bis zu zehn Jahre. Den Wettervorschlag holt unser Server bei Open-Meteo (Schweiz, angemessenes Datenschutzniveau). Übermittelt werden nur die Koordinaten der Baustelle, keine Namen. Die Koordinaten merken wir am Projekt, damit die Adresse nicht jedes Mal neu aufgelöst wird. Wer den Bericht teilt, erzeugt einen Link, der zweimal aufgerufen werden kann. Der Link enthält den Bericht einschließlich Namen und Unterschriften. Eine E-Mail mit der PDF geht nur an die Adresse, die der Verfasser selbst einträgt, über unseren Mailserver in Deutschland. Das gespeicherte Unterschriftsbild liegt am Konto der Person. Fotos im Bautagebuch laden die Personen selbst hoch. Liegt vom Vortag ein Entwurf ohne Unterschrift, schickt noreply@structfire.de einmal eine Erinnerung an die Personen, die den Bericht schreiben dürfen.

15. Empfänger und Drittland

Empfänger sind: netcup GmbH (Hosting und E-Mail), bei Lizenzbuchung Stripe. Eine Veräußerung Ihrer Daten findet nicht statt. Stripe kann Server außerhalb der EU einsetzen. Soweit ein Drittlandbezug besteht, stützen wir uns auf die von den Anbietern verwendeten Garantien (insbesondere Standardvertragsklauseln).

16. Ihre Rechte

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch (Art. 21 DSGVO)
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Bitte schreiben Sie an info@structfire.de. Unter Mein Profil können Sie Ihre Daten als Datei herunterladen und das Konto selbst löschen (Passwortbestätigung). Das Konto wird dann 7 Tage gesperrt; in der E-Mail können Sie die Löschung abbrechen. Danach werden die Daten gelöscht. Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig ist regelmäßig die Behörde Ihres Wohnsitzes; für den Verantwortlichen in Nordrhein-Westfalen: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf, ldi.nrw.de.

17. Pflicht zur Angabe und automatisierte Entscheidungen

Ohne E-Mail und Passwort können wir kein Konto führen. Projektdaten brauchen wir nur, soweit Sie dokumentieren. Eine automatisierte Entscheidung mit Rechtswirkung im Sinne von Art. 22 DSGVO findet nicht statt. Die vorübergehende Kontosperre nach mehreren Fehlversuchen ist eine Sicherheitsmaßnahme, keine Bonitätsprüfung.

18. Reichweitenmessung (Matomo)