Datenschutz – TBM Bau

Verantwortlich und Kontakt

Tegernseer Baumanagement GmbH & Co. KG, Driessenstraße 13, 83707 Bad Wiessee, Deutschland. Kontakt für Datenschutz und Betroffenenrechte: Wolfgang Deimhard, wd@tegernsee-bau.de, Telefon +49 151 15139745.

Diese Hinweise gelten für die iPhone-App TBM Bau und den zugehörigen zugangsgeschützten Projektdienst. Konten und Projektrechte werden durch TBM bereitgestellt. Eine öffentliche Selbstregistrierung ist nicht vorgesehen.

Daten und Zwecke

Für Anmeldung und Berechtigungen verarbeiten wir Namen, E-Mail-Adresse, Benutzerkennung, Rolle, Aktivstatus und Projektzuordnungen. Passwörter werden bei der Anmeldung verschlüsselt übertragen; der Server speichert einen Passworthash. Sitzung und Kontobasisdaten werden auf dem iPhone im geschützten Schlüsselbund gespeichert; das Anmeldepasswort wird dort von der App nicht gespeichert.

Zur Projektarbeit gehören Projektbezeichnung und -code, Aufgaben und Mängel, Beschreibungen, Orte, Gewerke, Firmen, Zuständigkeiten, Fristen, Status, Kommentare sowie Autor und Zeitpunkte. Hinzu kommen ausgewählte Pläne, Dateien, Dokumentversionen, Planmarkierungen, Fotos, Bautagesberichte, Besprechungen, Checklisten, Terminpläne, Projektkontakte und Notizen. Inhalte können Namen, Kontaktdaten oder sonstige Angaben zu Projektbeteiligten enthalten. Bitte beschränken Sie Freitexte und Bilder auf die erforderlichen Projektinformationen; Gesundheitsangaben und private Inhalte gehören grundsätzlich nicht in die Baustellendokumentation.

Die App liest kein Adressbuch aus und verwendet keine Ortungsdienste des iPhones. Projektanschriften und gegebenenfalls Baustellenkoordinaten werden in den Projekteinstellungen hinterlegt. Das sind projektbezogene Angaben, keine laufende Erfassung des Aufenthaltsorts von Beschäftigten.

Für Sicherheit und Nachvollziehbarkeit verarbeiten wir Sitzungskennungen, Schutzwerte gegen unerwünschte Anfragen, Anmeldezeitpunkte, Änderungen mit Akteur, Vorher-/Nachher-Stand und Begründung sowie für die Anmeldebegrenzung Hashwerte aus IP-Adresse beziehungsweise E-Mail-Adresse. Diese Werte sind pseudonym und weiterhin als personenbezogene Daten geschützt. Freiwillige Rückmeldungen im Browser können den eingegebenen Text und die dortige Browser-/Gerätekennung enthalten. Die App enthält keine Werbung und keine Analyse- oder Tracking-SDKs.

Fotos, Dateien und lokale Daten

Die Kamera wird nur nach Ihrer iOS-Berechtigung für eine von Ihnen ausgelöste Aufnahme verwendet. Über Apples Foto- und Dateiauswahl erhält die App die von Ihnen ausgewählten Inhalte. Der native Fotoweg erstellt vor dem Upload eine verkleinerte JPEG-Fassung. Über andere Uploadwege, insbesondere den Browser und ausgewählte Originaldateien, können auch vorhandene Dateimetadaten wie Aufnahmezeit oder Standortangaben mitgespeichert werden. Prüfen Sie ausgewählte Dateien deshalb vor der Übertragung.

Bestimmte zuvor geladene Projektdaten, Pläne und Bilder werden auf dem iPhone automatisch verschlüsselt zwischengespeichert, damit sie ohne Verbindung gelesen werden können. Der Speicher ist an Server und Konto gebunden. Ein Eintrag ist höchstens 24 Stunden für den Offline-Abruf verwendbar; abgelaufene Einträge werden beim Abruf verworfen. Beim Abmelden wird der lokale Offline-Speicher bereinigt. Eine sekundengenaue Löschung im Hintergrund wird damit nicht zugesagt. Der Cache ist in der App von Gerätesicherungen ausgeschlossen.

Beim Öffnen oder Teilen legt die App erforderlichenfalls eine geschützte temporäre Datei auf dem iPhone an. Eine Weitergabe über das iOS-Teilen-Menü erfolgt an die von Ihnen ausgewählte Ziel-App beziehungsweise den gewählten Empfänger. Dort gelten zusätzlich die jeweiligen Datenschutzbedingungen.

Rechtsgrundlagen

Für Beschäftigtendaten, die zur Durchführung des Arbeitsvertrags erforderlich sind, gilt Art. 6 Abs. 1 Buchst. b DSGVO; gesetzlich vorgeschriebene Verarbeitung beruht auf Art. 6 Abs. 1 Buchst. c DSGVO und der jeweiligen gesetzlichen Pflicht. Ergänzend sind die einschlägigen beschäftigungsrechtlichen Vorschriften einschließlich § 26 BDSG zu beachten. Für die Abwicklung eines Vertrags mit der betroffenen Person gilt Art. 6 Abs. 1 Buchst. b DSGVO. Angaben zu Ansprechpartnern von Unternehmen sowie erforderliche Projektkommunikation und Nachweise beruhen, soweit keine speziellere Grundlage greift, auf Art. 6 Abs. 1 Buchst. f DSGVO: unserem Interesse an verlässlicher Projektabwicklung, Zusammenarbeit und der Geltendmachung oder Abwehr von Ansprüchen. Gesetzlich erforderliche Unterlagen werden nach Art. 6 Abs. 1 Buchst. c DSGVO verarbeitet.

Die Absicherung des Dienstes dient dem berechtigten Interesse an Vertraulichkeit, Integrität und Verfügbarkeit nach Art. 6 Abs. 1 Buchst. f DSGVO. Eine iOS-Kameraerlaubnis ersetzt keine erforderliche Rechtsgrundlage für den Inhalt eines Fotos. Eine Einwilligung verwenden wir nur für einen gesondert beschriebenen, tatsächlich freiwilligen Vorgang; sie kann für die Zukunft widerrufen werden.

Zugriff, Empfänger und Betrieb

Die Anwendungsdaten werden auf der von TBM verwalteten NAS gespeichert. Die App verbindet sich über HTTPS. Zugriff erhalten Administration und ausdrücklich berechtigte Projektbeteiligte entsprechend Rolle und Projektzuordnung. netcup stellt die Auflösung des Domainnamens bereit; der DNS-Dienst erhält dadurch keine Projektdateien oder Ticketinhalte.

Bei der Wetterfunktion übermittelt der Server die hinterlegten Baustellenkoordinaten und das Datum an den Dienst Bright Sky unter api.brightsky.dev, der Wetterdaten des Deutschen Wetterdienstes bereitstellt. Dabei ist auch die öffentliche IP-Adresse des NAS-Anschlusses für den Wetterdienst sichtbar. Namen, Tickettexte und Fotos gehören nicht zu dieser Anfrage. Ohne hinterlegte Koordinaten findet diese Abfrage nicht statt. Die übermittelten Baustellenkoordinaten sind im aktuellen Dienst genau und können bei privaten Grundstücken einen Personenbezug haben. Die Wetterabfrage dient dem berechtigten Interesse an nachvollziehbarer Baustellendokumentation nach Art. 6 Abs. 1 Buchst. f DSGVO; sie darf nur für hierfür erforderliche und berechtigt hinterlegte Projektstandorte genutzt werden. Weitere Informationen: Bright Sky. Die Wetterangaben unterstützen die Projektdokumentation; eine fehlgeschlagene Abfrage wird als ausstehend angezeigt.

Projektinhalte werden nur für einen dokumentierten Zweck und im erforderlichen Umfang an berechtigte Auftraggeber, Planende, ausführende Unternehmen, Beratende oder gesetzlich berechtigte Behörden weitergegeben. Die aktuelle Bau-Betriebsart führt keinen aktiven Capmo-Abgleich aus und übermittelt keine Projektinhalte an KI-Dienste. Die Zeiterfassung ist ein getrenntes Produkt; eine gemeinsame Datenbank wird nicht verwendet.

Anfragen an unsere Kontaktadresse laufen über das von TBM genutzte Microsoft-365-Postfach. Für vertrauliche Unterlagen stimmen wir einen geeigneten Übermittlungsweg ab. Neue Dienstleister und etwaige Drittlandübermittlungen sind vor ihrer Einbindung gesondert zu prüfen und hier nachzuführen.

Apple erhält zur App-Prüfung einen getrennten Zugang mit künstlichen Beispieldaten. Echte Beschäftigten- und Projektdaten sind darin nicht enthalten. Beim Bezug der App gelten zusätzlich Apples Datenschutzhinweise.

Aufbewahrung und Löschung

Projektinformationen werden während der erforderlichen Projektabwicklung und danach nur für konkret zugeordnete Nachweis-, Aufbewahrungs- oder Anspruchszwecke gespeichert. Nach Projektabschluss prüfen wir die weitere Erforderlichkeit; danach ist eine jährliche Prüfung vorgesehen. Entbehrliche Kontaktdaten, Dubletten und Freitexte sollen früher entfernt werden. Diese Prüffrist begründet keine Mindestaufbewahrung unnötiger Daten.

Für erforderliche Nachweise zu Bau-, Planungs- oder Überwachungsleistungen ist regelmäßig die fünfjährige Verjährung von Mängelansprüchen ab Abnahme nach § 634a BGB zu berücksichtigen. Das ist keine pauschale Speicherpflicht für sämtliche App-Inhalte; abweichende Verträge, offene Verfahren und Hemmungstatbestände sind im Einzelfall zu prüfen. Steuerlich relevante Unterlagen werden ihrer tatsächlichen Art zugeordnet: Nach § 147 AO gelten beispielsweise acht Jahre für Buchungsbelege, zehn Jahre für bestimmte Bücher und Abschlüsse und sechs Jahre für weitere dort erfasste Unterlagen. Diese Fristen gelten nicht unterschiedslos für Fotos, Tickets oder alle Projektdateien.

Sitzungen sind höchstens zwölf Stunden gültig und werden beim serverseitigen Abmelden widerrufen. Abgelaufene Sitzungen werden derzeit bei einer neuen Anmeldung bereinigt. Das Anmeldebegrenzungsfenster beträgt 15 Minuten. Für reine Sicherheitsprotokolle und abgelaufene Fehlversuche ist eine Begrenzung auf sieben Tage vorgesehen, soweit kein konkreter Vorfall eine begründete längere Speicherung erfordert. Eine zusätzliche zeitgesteuerte Bereinigung ist noch nicht als eingerichtet nachgewiesen.

Änderungsnachweise, bestätigte Berichte und Dokumentversionen werden gegen nachträgliche Einzeländerung geschützt. Eine erforderliche Löschung muss deshalb kontrolliert einschließlich zugehöriger Nachweise und Sicherungskopien umgesetzt werden. Deaktivieren eines Kontos oder Archivieren eines Projekts bedeutet noch keine Löschung. Für Sicherungen gelten dieselben Zweckbindungen; nach einer Wiederherstellung sind bereits erfolgte Löschungen vor erneuter Nutzung abzugleichen. Eine automatische Löschung aller Inhalte nach einer einheitlichen Frist wird nicht zugesagt.

Ihre Rechte und Kontakt

Nach Maßgabe der gesetzlichen Voraussetzungen haben Sie Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit. Gegen eine Verarbeitung aufgrund berechtigter Interessen können Sie aus Gründen Ihrer besonderen Situation Widerspruch einlegen. Eine gesonderte Einwilligung kann für die Zukunft widerrufen werden. Anfragen richten Sie bitte an wd@tegernsee-bau.de; senden Sie zunächst nur die zur Zuordnung nötigen Angaben. Wir antworten unverzüglich, spätestens innerhalb eines Monats. Gesetzlich zulässige Verlängerungen werden innerhalb dieses Monats begründet mitgeteilt.

Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere beim Bayerischen Landesamt für Datenschutzaufsicht.

Kontodaten sind für den geschützten Zugang notwendig; erforderliche Projektangaben ergeben sich aus dem jeweiligen Beschäftigungs- oder Projektverhältnis. Ohne diese Angaben können die betreffenden Vorgänge nicht verlässlich bearbeitet werden. Bei technischen Problemen wenden Sie sich an TBM. Die App trifft keine ausschließlich automatisierte Entscheidung mit rechtlicher oder vergleichbar erheblicher Wirkung; fachliche Entscheidungen und Freigaben verbleiben bei den zuständigen Personen.

Quellenhinweis Wetterdaten

Wetterdaten: Deutscher Wetterdienst, bereitgestellt über Bright Sky; in der App für den jeweiligen Baustellentag zusammengefasst. Für die Wetterdaten gilt die Lizenz Creative Commons Namensnennung 4.0 (https://creativecommons.org/licenses/by/4.0/). Quelle und Nutzungshinweise: https://www.dwd.de/DE/service/rechtliche_hinweise/rechtliche_hinweise.html; https://brightsky.dev/. Die Zusammenfassung ist keine amtliche Warnung.