Rechtliches

1. Geltungsbereich

Diese Datenschutzerklärung informiert über die Verarbeitung personenbezogener Daten im Zusammenhang mit der Nutzung der Software-as-a-Service-Anwendung phase0.

phase0 ist eine mandantenfähige Plattform für Unternehmen, insbesondere für die digitale Organisation und Dokumentation von Projekten und Bauvorhaben.

Die Anwendung kann über folgende Zugänge genutzt werden:

• Webbrowser,
• Android-App,
• iOS-App.

Da phase0 von verschiedenen Unternehmen als eigenständiger Mandant genutzt werden kann, ist bei der datenschutzrechtlichen Beurteilung zwischen unterschiedlichen Verantwortlichkeiten zu unterscheiden.

2. Datenschutzrechtliche Rollen

phase0 wird in zwei Konstellationen genutzt, die datenschutzrechtlich unterschiedlich zu beurteilen sind: durch Kunden der LATEC GmbH in einem eigenen Mandanten, und durch die LATEC GmbH selbst für ihre eigenen Bauvorhaben.

2.1 Verarbeitung von Kundendaten innerhalb eines phase0-Mandanten

Unternehmen und andere Organisationen können phase0 als Kunde der LATEC GmbH nutzen und innerhalb eines eigenen, getrennten Mandanten personenbezogene Daten verarbeiten.

Hierzu können beispielsweise gehören:

• Daten eigener Beschäftigter,
• Daten von Nachunternehmern,
• Daten von Auftraggebern,
• Daten von Bauherren,
• Daten von Ansprechpartnern,
• Daten von Projektbeteiligten,
• Projektdaten,
• Kommunikationsdaten,
• Baustellendokumentationen,
• Fotos,
• Dokumente,
• Aufgaben,
• Arbeitszeitdaten.

Für diese Datenverarbeitungen ist der jeweilige Kunde von phase0 datenschutzrechtlich Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO.

Der Kunde entscheidet insbesondere darüber,

• welche personenbezogenen Daten in phase0 gespeichert werden,
• welche Personen Benutzerkonten erhalten,
• welchen Projekten Benutzer zugeordnet werden,
• welche Berechtigungen Benutzer erhalten,
• zu welchen Zwecken die Daten verarbeitet werden,
• welche Rechtsgrundlage für die Verarbeitung besteht,
• wann Daten gelöscht werden.

Die LATEC GmbH verarbeitet diese Daten als Auftragsverarbeiter gemäß Art. 28 DSGVO im Auftrag des jeweiligen Kunden. Zwischen der LATEC GmbH und dem jeweiligen Kunden wird hierzu ein Vertrag über die Verarbeitung personenbezogener Daten im Auftrag geschlossen.

LATEC verarbeitet die entsprechenden Kundendaten ausschließlich im Rahmen der vertraglich vereinbarten Leistungen und entsprechend den dokumentierten Weisungen des Kunden, soweit keine gesetzliche Verpflichtung zu einer darüber hinausgehenden Verarbeitung besteht.

2.2 Nutzung von phase0 durch die LATEC GmbH selbst

Die LATEC GmbH nutzt phase0 auch für ihre eigenen Bauvorhaben und betreibt hierfür einen eigenen Mandanten.

Für die in diesem Mandanten verarbeiteten Daten — insbesondere Daten der eigenen Beschäftigten, der beauftragten Nachunternehmen und der Auftraggeber — ist die LATEC GmbH selbst Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO.

Für diese Verarbeitung gelten die in dieser Erklärung genannten Zwecke, Rechtsgrundlagen und Speicherfristen unmittelbar. Die Rechtsgrundlage für die Verarbeitung von Beschäftigtendaten ist § 26 Abs. 1 BDSG — die Verarbeitung ist für die Durchführung des Beschäftigungsverhältnisses erforderlich. Eine Einwilligung wird hierfür bewusst nicht eingeholt: Sie müsste freiwillig und widerruflich sein, und beides ist im Arbeitsverhältnis nicht verlässlich gegeben.

Für Beschäftigte beauftragter Nachunternehmen stützt sich die Verarbeitung auf Art. 6 Abs. 1 lit. b DSGVO zur Durchführung des Vertrags mit ihrem Arbeitgeber sowie auf Art. 6 Abs. 1 lit. f DSGVO — das berechtigte Interesse, den Bauablauf nachvollziehbar zu dokumentieren und die Beteiligten zu koordinieren.

2.3 Keine automatische gemeinsame Verantwortlichkeit

Allein die gemeinsame Nutzung von phase0 durch mehrere Unternehmen oder Projektbeteiligte führt nicht automatisch zu einer gemeinsamen Verantwortlichkeit nach Art. 26 DSGVO.

Ob im Einzelfall eine gemeinsame Verantwortlichkeit zwischen verschiedenen Projektbeteiligten besteht, richtet sich danach, ob diese gemeinsam über Zwecke und wesentliche Mittel einer bestimmten Verarbeitung entscheiden.

Eine solche mögliche gemeinsame Verantwortlichkeit ist von den jeweils beteiligten Unternehmen gesondert zu beurteilen und gegebenenfalls vertraglich zu regeln.

Die Bereitstellung der technischen Plattform durch LATEC begründet für sich genommen keine gemeinsame Verantwortlichkeit.

2.4 Verarbeitung in eigener Verantwortlichkeit der LATEC GmbH

Über den eigenen Mandanten hinaus ist die LATEC GmbH für bestimmte Verarbeitungen rund um den Betrieb der Plattform selbst Verantwortlicher. Dies betrifft insbesondere:

• Vertragsverwaltung,
• Kundenverwaltung,
• Abrechnung,
• Verwaltung von Ansprechpartnern beim Kunden,
• Lizenzverwaltung,
• Kommunikation mit Kunden,
• Supportanfragen,
• IT-Sicherheit,
• Missbrauchs- und Angriffserkennung,
• technische Sicherheitsprotokolle,
• Verwaltung der phase0-Plattform,
• Erfüllung gesetzlicher Verpflichtungen der LATEC GmbH.

Verantwortlicher hierfür ist: LATEC GmbH Kunadstr. 3 01069 Dresden Deutschland E-Mail: kontakt@latec.gmbh

3. Datenschutzbeauftragter

Ein betrieblicher Datenschutzbeauftragter ist derzeit nicht bestellt, da nach Einschätzung der LATEC GmbH die gesetzlichen Voraussetzungen für eine verpflichtende Bestellung nicht vorliegen.

Sollten die gesetzlichen Voraussetzungen künftig erfüllt sein, wird ein Datenschutzbeauftragter bestellt und dieser Abschnitt entsprechend aktualisiert.

Anfragen zum Datenschutz können gerichtet werden an: kontakt@latec.gmbh

4. Welche personenbezogenen Daten verarbeitet werden können

Je nach Nutzung, freigeschalteten Modulen, Rolle und Konfiguration des jeweiligen Mandanten können in phase0 insbesondere folgende Kategorien personenbezogener Daten verarbeitet werden.

4.1 Benutzer- und Kontodaten

• Vorname,
• Nachname,
• geschäftliche E-Mail-Adresse,
• Benutzerkennung,
• Unternehmen,
• Rolle,
• Benutzerstatus,
• Berechtigungen,
• Projektzuordnungen,
• Zeitpunkt bestimmter Kontoaktivitäten.

4.2 Projekt- und Baustellendaten

• Projektbezeichnung,
• Projektnummer,
• Baustellenanschrift,
• Projektbeschreibung,
• Auftraggeber,
• Ansprechpartner,
• Telefonnummern,
• E-Mail-Adressen,
• Zeiträume,
• Projektstatus,
• Projektbeteiligte.

4.3 Kommunikation und Zusammenarbeit

• Projekt-Chatnachrichten,
• Kommentare,
• Erwähnungen,
• Aufgaben,
• Statusänderungen,
• Zuordnungen,
• interne Mitteilungen.

4.4 Dokumentationen

• Bautagebucheinträge,
• Baustellenberichte,
• Protokolle,
• Leistungsnachweise,
• hochgeladene Dokumente,
• PDF-Dateien,
• Fotos,
• Bildbeschreibungen,
• Anlagen und sonstige Dateien.

4.5 Arbeitszeit- und Tätigkeitsdaten

Soweit die entsprechenden Funktionen freigeschaltet sind, können verarbeitet werden:

• Arbeitsbeginn,
• Arbeitsende,
• Pausenzeiten,
• Arbeitsdauer,
• Projektzuordnung,
• Tätigkeit,
• Mitarbeiterzuordnung.

In einem Kundenmandanten liegen die datenschutzrechtliche Verantwortlichkeit und die Auswahl der Rechtsgrundlage beim jeweiligen Arbeitgeber. Im Mandanten der LATEC GmbH stützt sich die Aufzeichnung auf Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 16 Abs. 2 ArbZG und § 17 MiLoG — sie ist gesetzlich vorgeschrieben.

4.6 Abwesenheiten

Soweit das Abwesenheitsmodul freigeschaltet ist, werden Abwesenheiten mit ihrem Grund erfasst. Zur Auswahl stehen Urlaub, Krankheit, unbezahlte Abwesenheit und sonstige Gründe; hinzu kommen Freitextfelder für Anmerkungen zum Antrag und zur Entscheidung.

Die Angabe „Krankheit" ist ein Gesundheitsdatum und damit eine besondere Kategorie personenbezogener Daten im Sinne von Art. 9 Abs. 1 DSGVO. Die Verarbeitung stützt sich im Beschäftigungsverhältnis auf Art. 9 Abs. 2 lit. b DSGVO in Verbindung mit § 26 Abs. 3 BDSG — sie ist erforderlich, um Rechte und Pflichten aus dem Arbeitsverhältnis und dem Recht der sozialen Sicherheit wahrzunehmen.

Eine Diagnose oder ärztliche Bescheinigung wird von der Anwendung nicht abgefragt. In die Freitextfelder sollen keine Angaben zur Art einer Erkrankung eingetragen werden.

5. Herkunft personenbezogener Daten

Personenbezogene Daten werden nicht ausschließlich unmittelbar bei den betroffenen Personen erhoben. Benutzerkonten und Projektdaten werden in der Regel durch die Verwaltung des jeweiligen Mandanten angelegt. Wer ein Unternehmen selbst einrichtet, gibt seine Daten dagegen unmittelbar selbst an.

Daten können daher beispielsweise stammen von:

• dem Arbeitgeber der betroffenen Person,
• einer Administratorin oder einem Administrator des Mandanten,
• einer Projektleitung,
• einem Auftraggeber,
• einem Projektbeteiligten,
• einem Nachunternehmen,
• einer anderen zur Eingabe berechtigten Person.

Soweit LATEC diese Daten lediglich im Auftrag eines Kunden verarbeitet, obliegt die Erfüllung der Informationspflichten nach Art. 13 und Art. 14 DSGVO dem jeweiligen Verantwortlichen.

6. Technische Nutzungsdaten

Beim Zugriff auf phase0 werden technisch erforderliche Daten verarbeitet. Dazu können gehören:

• IP-Adresse,
• Zeitpunkt des Zugriffs,
• aufgerufene Funktion oder Ressource,
• HTTP-Statuscode,
• Browser beziehungsweise App-Version,
• Betriebssystem,
• Geräteinformationen,
• technische Vorgangskennung,
• Fehlermeldungen,
• technische Diagnoseinformationen.

Diese Daten dienen der Bereitstellung des Dienstes, der Fehlerdiagnose, der Systemstabilität, der Erkennung technischer Störungen, der IT-Sicherheit und der Abwehr missbräuchlicher oder unbefugter Zugriffe.

Soweit LATEC diese Daten für eigene Sicherheits- und Betriebszwecke verarbeitet, erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse besteht im sicheren, stabilen und ordnungsgemäßen Betrieb von phase0 sowie im Schutz von Kunden-, Benutzer- und Unternehmensdaten.

Technische Protokolldaten werden nur so lange gespeichert, wie dies zur Erreichung des jeweiligen Sicherheits- oder Betriebszwecks erforderlich ist. Reguläre technische Protokolle werden spätestens nach 30 Tagen gelöscht, sofern sie nicht aufgrund eines konkreten Sicherheitsvorfalls, einer Störung oder zur Geltendmachung beziehungsweise Abwehr von Rechtsansprüchen länger benötigt werden.

7. Fehlgeschlagene Anmeldeversuche und Schutz vor Angriffen

Zum Schutz der Anwendung vor unbefugten Zugriffen werden fehlgeschlagene Anmeldeversuche protokolliert. Dabei werden verarbeitet:

• die eingegebene E-Mail-Adresse,
• die Internetadresse, von der aus der Versuch kam,
• der Zeitpunkt des Versuchs.

Erfolgreiche Anmeldungen werden nicht protokolliert.

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse besteht darin, Benutzerkonten zu schützen, automatisierte Anmeldeversuche zu erkennen, das Durchprobieren von Passwörtern zu verhindern und Sicherheitsvorfälle nachvollziehen zu können.

Aus der Zahl der Fehlversuche ergibt sich eine wachsende Wartezeit zwischen den Versuchen. Sie wird sowohl je Konto als auch je Internetadresse berechnet; maßgeblich ist der jeweils höhere Wert. Konten werden dabei nicht gesperrt — eine Sperre ließe sich gegen die Beschäftigten selbst richten.

Die Protokolle werden nach 30 Tagen gelöscht. Die Löschung geschieht selbsttätig durch einen täglichen Auftrag der Anwendung.

8. Authentifizierung und Sitzungsverwaltung

phase0 verwendet technisch erforderliche Mechanismen zur Authentifizierung und Sitzungsverwaltung. Hierfür werden verwendet:

• ein Sitzungs-Cookie in der Weboberfläche,
• ein Sitzungstoken in den Apps für Android und iOS,
• lokale Speichermechanismen des Geräts für Einstellungen und den Zwischenspeicher der Apps.

Diese Mechanismen dienen ausschließlich dazu, Benutzer anzumelden, angemeldete Sitzungen aufrechtzuerhalten, Berechtigungen durchzusetzen, Sicherheitsfunktionen bereitzustellen und ausdrücklich angeforderte Funktionen der Anwendung bereitzustellen.

Soweit die Speicherung von Informationen auf dem Endgerät beziehungsweise der Zugriff auf dort gespeicherte Informationen hierfür unbedingt erforderlich ist, erfolgt dies ohne Einwilligung gemäß § 25 Abs. 2 Nr. 2 TDDDG.

phase0 verwendet keine Cookies oder vergleichbaren Technologien zu Werbe-, Marketing- oder nutzerübergreifenden Trackingzwecken.

9. Diktier- und Spracheingabefunktion

Das Bautagebuch der Weboberfläche stellt eine Diktierfunktion bereit. Eine Sprachaufnahme wird ausschließlich nach ausdrücklicher Betätigung dieser Funktion durch die Nutzerin oder den Nutzer gestartet und setzt die Mikrofonfreigabe des Browsers voraus.

Die Aufnahme wird an einen von der LATEC GmbH betriebenen Server übertragen. Sie wird dort weder dauerhaft abgelegt noch an Dritte weitergegeben: Die Umwandlung in Text läuft auf demselben Server, und die Audiodatei wird danach in jedem Fall gelöscht — auch wenn die Umwandlung fehlschlägt. Gespeichert wird ausschließlich der erzeugte Text, und auch dieser nur, wenn er in einen Eintrag übernommen wird.

Eine Übermittlung der Sprachaufnahme an einen externen Sprach- oder KI-Dienst findet nicht statt. Die Anwendung ist so gebaut, dass sie ohne eine eingerichtete eigene Spracherkennung gar nicht erst umwandelt und auf die Tastatureingabe zurückfällt; einen Ausweichweg über einen fremden Dienst gibt es nicht.

Ohne Betätigung der Diktierfunktion findet keine Sprachaufnahme statt.

Die Apps für Android und iOS enthalten keine Diktierfunktion. Der Android-App ist die Berechtigung zur Tonaufnahme ausdrücklich entzogen.

10. Kamera, Fotos und Dateien

phase0 kann den Zugriff auf die Kamera beziehungsweise auf ausgewählte Dateien und Bilder eines Geräts ermöglichen. Der Zugriff erfolgt ausschließlich, wenn die jeweilige Funktion aktiv verwendet und die entsprechende Betriebssystemberechtigung erteilt wurde.

Die Kamera kann verwendet werden, um Baustellenfotos aufzunehmen, Projektdokumentationen zu erstellen und Dokumente zu erfassen.

Der Zugriff auf vorhandene Bilder oder Dateien dient dazu, ausgewählte Inhalte einem Projekt oder einer Dokumentation hinzuzufügen. Übertragen werden Bilder in den Formaten JPEG, PNG, WebP und GIF sowie PDF-Dateien.

phase0 greift nicht ohne Benutzeraktion auf sämtliche Bilder oder Dateien eines Geräts zu.

11. Standortdaten

phase0 verarbeitet keine GPS- oder sonstigen präzisen Standortinformationen des Endgeräts. Eine entsprechende Funktion ist nicht vorhanden, und die Apps fordern keine Standortberechtigung an.

Die Speicherung einer Baustellenanschrift als Projektangabe stellt keine Ortung eines Endgeräts dar.

Sollten künftig standortbezogene Funktionen eingeführt werden, wird diese Datenschutzerklärung vorher angepasst.

12. Kontakte und Kalender

phase0 greift nicht auf das persönliche Adressbuch oder den persönlichen Kalender eines Endgeräts zu. Entsprechende Berechtigungen werden nicht angefordert.

13. Push-Benachrichtigungen

phase0 kann Push-Benachrichtigungen versenden. Hierfür werden verwendet:

• Firebase Cloud Messaging (FCM) der Google Ireland Limited für Android,
• Apple Push Notification Service (APNs) der Apple Distribution International Ltd. für iOS.

An diese Dienste werden übermittelt:

• die Gerätekennung für Meldungen (Push-Token),
• die Bezeichnung des betroffenen Bauvorhabens als Titel der Meldung,
• ein allgemein gehaltener Meldungstext wie „Du wurdest in einer Nachricht erwähnt." oder „Neue Aufgabe für dich.",
• die Kennung des Bauvorhabens sowie die Art des Ereignisses, damit die App die richtige Ansicht öffnen kann.

Inhalte von Nachrichten, Namen von Personen und Beschreibungen von Aufgaben werden nicht an die Push-Dienste übermittelt. Die Bezeichnung eines Bauvorhabens kann jedoch Angaben enthalten, die einen Rückschluss auf den Ort der Baustelle zulassen, weil Bauvorhaben häufig nach ihrer Anschrift benannt werden. Wer dies vermeiden möchte, kann das Bauvorhaben ohne Anschrift benennen oder die Meldungen abschalten.

Der eigentliche Inhalt wird erst nach dem Öffnen der Anwendung unmittelbar aus phase0 geladen.

Für Push-Benachrichtigungen ist eine Berechtigung des Betriebssystems erforderlich. Die Funktion kann jederzeit über die Einstellungen des Geräts oder in der App abgeschaltet werden.

14. Hosting und Infrastruktur

Für den Betrieb von phase0 wird Cloud-Infrastruktur der Amazon Web Services EMEA SARL verwendet.

Die Speicherung der produktiven phase0-Daten erfolgt ausschließlich in der AWS-Region eu-central-1 — Frankfurt am Main, Deutschland. Dort liegen die Datenbanken, die Dateiablage und die Sicherungskopien. Eine Speicherung in einer anderen Region findet nicht statt.

AWS wird als Auftragsverarbeiter beziehungsweise Unterauftragsverarbeiter eingesetzt. Der Auftragsverarbeitungsvertrag von AWS einschließlich der Standardvertragsklauseln ist Bestandteil der AWS-Nutzungsbedingungen und gilt damit unmittelbar; dem Konto der LATEC GmbH liegen keine abweichenden Vertragsbedingungen zugrunde.

Trotz Auswahl einer europäischen Speicherregion kann nicht bei jedem technischen Unterstützungs-, Verwaltungs- oder Sicherheitsprozess vollständig ausgeschlossen werden, dass ein Zugriff aus einem Drittstaat erfolgt. Soweit personenbezogene Daten in ein Land außerhalb der Europäischen Union beziehungsweise des Europäischen Wirtschaftsraums übermittelt werden, erfolgt dies nur unter Beachtung der Voraussetzungen der Art. 44 ff. DSGVO.

15. Unterauftragsverarbeiter

LATEC setzt zur Erbringung von phase0 Unterauftragsverarbeiter ein. Die jeweils aktuelle Liste mit Anbieter, Zweck, Ort der Verarbeitung und etwaigem Drittlandbezug ist unter phase0.latec.gmbh/rechtliches/unterauftragsverarbeiter abrufbar.

Der E-Mail-Versand aus phase0 erfolgt über den Mailserver des jeweiligen Mandanten. Dieser wird in den Einstellungen hinterlegt; LATEC betreibt keinen eigenen Versanddienst. Die datenschutzrechtliche Beziehung zum Mailanbieter besteht zwischen diesem und dem Mandanten. Wird der Versand über Microsoft 365 eingerichtet, ist Microsoft in der Liste der Unterauftragsverarbeiter aufgeführt, weil phase0 den Versand auslöst und die Inhalte bestimmt.

16. Schnittstellen zu anderen Systemen

phase0 kann Dateien aus anderen Systemen einlesen. Derzeit betrifft dies Buchungsstapel im DATEV-Format, die als Datei hochgeladen und ausgewertet werden. Dabei besteht keine Verbindung zu DATEV; es werden keine Daten an DATEV übermittelt. Verarbeitet wird ausschließlich die hochgeladene Datei.

Richtet ein Mandant phase0 neu ein, können vorhandene Projektdaten aus seinem bisherigen System übernommen werden. Eine solche Übernahme geschieht nur auf seine Veranlassung und mit seinen eigenen Zugangsdaten; die Daten fließen dabei ausschließlich in seinen phase0-Mandanten hinein, nicht in die Gegenrichtung.

Eine Anbindung an Microsoft 365 oder an Kartendienste besteht nicht. Aus phase0 heraus werden keine personenbezogenen Daten an andere Systeme übermittelt. Sollte sich das ändern, wird diese Datenschutzerklärung vorher angepasst.

17. Support

Wenden sich Kunden oder Benutzer an den phase0-Support, können verarbeitet werden:

• Name,
• Unternehmen,
• Kontaktdaten,
• Inhalt der Supportanfrage,
• technische Informationen,
• Bildschirmfotos,
• übermittelte Dateien,
• Kommunikationsverlauf.

Soweit die Supportkommunikation die Vertragsbeziehung mit einem Kunden betrifft, erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Bei Ansprechpartnern eines Unternehmenskunden kann die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO gestützt werden; das berechtigte Interesse besteht in der Durchführung und Betreuung der Geschäftsbeziehung.

Erfordert ein Supportfall die Einsicht in personenbezogene Kundendaten, erfolgt ein solcher Zugriff nur, soweit dies zur Bearbeitung erforderlich und datenschutzrechtlich zulässig ist.

18. Vertrag, Kundenverwaltung und Abrechnung

Bei Abschluss und Durchführung eines Vertrages über phase0 verarbeitet LATEC insbesondere Firmenname, Anschrift, Ansprechpartner, geschäftliche Kontaktdaten, Vertragsdaten, Lizenzinformationen, Rechnungsdaten, Zahlungsinformationen und Kommunikationsdaten.

Die Verarbeitung erfolgt zur Vertragsanbahnung, Vertragsdurchführung, Abrechnung, Kundenbetreuung und Erfüllung gesetzlicher Aufbewahrungspflichten.

Rechtsgrundlagen sind je nach Verarbeitung Art. 6 Abs. 1 lit. b, lit. c und lit. f DSGVO. Bei Ansprechpartnern juristischer Personen besteht das berechtigte Interesse in der Durchführung der geschäftlichen Vertragsbeziehung mit dem jeweiligen Unternehmen.

19. Speicherdauer bei Daten, für die LATEC Verantwortlicher ist

Dieser Abschnitt gilt für die Daten des eigenen Mandanten der LATEC GmbH sowie für die Verwaltung der Plattform. Die Fristen beginnen, soweit nicht anders angegeben, mit dem Zeitpunkt, zu dem ein Bauvorhaben in der Anwendung als abgeschlossen gekennzeichnet wird. Wird ein Bauvorhaben wieder geöffnet, beginnt die Frist neu — während gearbeitet wird, läuft keine Frist.

• Konto und Anmeldedaten: bis zum Ausscheiden oder bis zur Löschung auf Antrag.
• Gerätekennungen für Meldungen: bis zur Abmeldung des Geräts.
• Bautagebuch und die dort abgelegten Fotos: fünf Jahre. Grundlage ist das berechtigte Interesse, den Bauablauf so lange nachweisen zu können, wie Mängelansprüche an einem Bauwerk verjähren (§ 634a Abs. 1 Nr. 2 BGB, Art. 6 Abs. 1 lit. f DSGVO).
• Als Dokument exportierte Bautagebuch-Berichte: zehn Jahre. Diese Ausfertigungen liegen unveränderbar und dienen dem Nachweis gegenüber Auftraggebern und Behörden.
• Chat, Aufgaben und die dort geteilten Fotos: drei Jahre. Sie belegen die Abstimmung untereinander und nicht den Zustand des Bauwerks; maßgeblich ist die regelmäßige Verjährungsfrist (§ 195 BGB).
• Rechnungen und sonstige Buchungsbelege: acht Jahre (§ 147 Abs. 3 AO, § 257 Abs. 4 HGB).
• Handelsbücher, Inventare und Jahresabschlüsse: zehn Jahre.
• Arbeitszeiten: zwei Jahre (§ 16 Abs. 2 ArbZG, § 17 MiLoG).
• Fehlgeschlagene Anmeldeversuche und technische Protokolle: 30 Tage.
• Angefangene, nie bestätigte Einrichtungen eines Unternehmens: Der Bestätigungslink verfällt nach 24 Stunden; die Angaben werden anschließend gelöscht. Bis zur Bestätigung entsteht kein Benutzerkonto.
• Supportkommunikation: für die Dauer der Bearbeitung sowie anschließend entsprechend etwaiger vertraglicher oder gesetzlicher Nachweis- und Verjährungsfristen.

Ist zu einem Bauvorhaben ein Rechtsstreit anhängig oder angekündigt, bleiben die zugehörigen Daten über diese Fristen hinaus erhalten, bis er abgeschlossen ist.

Die Löschung der Projektdaten erfolgt nach organisatorischer Prüfung und nicht selbsttätig durch die Anwendung. Der Fristbeginn wird von der Anwendung festgehalten.

20. Speicherdauer von Daten innerhalb eines Kundenmandanten

Für Daten, die LATEC als Auftragsverarbeiter für einen Kunden verarbeitet, bestimmt der jeweilige Kunde als Verantwortlicher die zulässige Speicherdauer. Er legt fest, welche gesetzlichen Aufbewahrungspflichten und Verjährungsfristen für seine Daten gelten.

LATEC löscht oder gibt personenbezogene Daten entsprechend den vertraglichen Vereinbarungen und dokumentierten Weisungen des Kunden zurück und entscheidet nicht eigenständig über die Löschung solcher Daten.

Die in Abschnitt 19 genannten Fristen sind die von LATEC für den eigenen Betrieb hergeleiteten Werte. Sie können einem Kunden als Ausgangspunkt dienen, ersetzen aber nicht dessen eigene Prüfung.

21. Beendigung eines Kundenvertrages

Nach Beendigung eines phase0-Vertrages werden die Kundendaten entsprechend den Regelungen des Vertrages und des Auftragsverarbeitungsvertrages gelöscht oder dem Kunden zur Verfügung gestellt, soweit keine gesetzliche Verpflichtung zur weiteren Speicherung besteht.

Technisch notwendige Sicherungskopien der Datenbank bestehen für sieben Tage fort. Während dieses Zeitraums werden die Daten nicht mehr für den regulären Betrieb verwendet; mit Ablauf der Sicherungsfolge werden sie überschrieben.

22. Löschung eines Benutzerkontos

Die Löschung eines Benutzerkontos ist von der Löschung der zuvor erstellten Projektinhalte zu unterscheiden.

Bei Löschung eines Benutzerkontos werden gelöscht oder deaktiviert:

• der Benutzerzugang,
• Name und E-Mail-Adresse,
• Authentifizierungsdaten,
• Sitzungen,
• Gerätekennungen,
• Rollen und Lizenzen,
• Projektmitgliedschaften,
• persönliche Einstellungen.

Projektbezogene Inhalte bleiben erhalten, soweit sie zur Dokumentation eines Bauvorhabens benötigt werden oder Aufbewahrungspflichten unterliegen. Hierzu gehören Chatnachrichten, Aufgaben, Bautagebucheinträge, Fotos, Dokumente und Berichte.

Diese Einträge tragen nach der Löschung keine auflösbare Urheberangabe mehr: Der Name ist entfernt, und die Anwendung zeigt solche Beiträge ohne Namen an. Da intern weiterhin eine Kennung bestehen kann, handelt es sich um eine Pseudonymisierung und nicht um eine Anonymisierung.

Konten werden durch die Verwaltung des jeweiligen Mandanten angelegt; wer sein Unternehmen seit dem 22. September 2026 selbst einrichtet, legt dabei sein eigenes Verwaltungskonto an. Die Löschung können Sie seit dem 21. September 2026 selbst auslösen — in der App unter „Mehr" → „Konto löschen" oder in der Weboberfläche unter „Konto und Daten löschen lassen"; bestätigt wird sie mit Ihrem Passwort und wirkt sofort. Gesperrt ist sie nur, solange Sie die einzige Person mit Verwaltungsrechten Ihres Unternehmens sind.

Alternativ erfolgt die Löschung weiterhin auf Antrag. In einem Kundenmandanten entscheidet der Kunde als Verantwortlicher über die Löschung.

23. Besondere Kategorien personenbezogener Daten

Über die in Abschnitt 4.6 genannten Abwesenheitsgründe hinaus ist phase0 nicht dafür vorgesehen, Daten im Sinne des Art. 9 DSGVO zu verarbeiten.

In Freitextfeldern, Chats, Fotos oder Dokumenten sollen keine Gesundheitsdaten oder anderen besonderen Kategorien personenbezogener Daten gespeichert werden, sofern dies für den jeweiligen Zweck nicht erforderlich und rechtlich zulässig ist.

Verarbeitet ein Kunde besondere Kategorien personenbezogener Daten über phase0, ist er als Verantwortlicher für die Prüfung der datenschutzrechtlichen Zulässigkeit sowie für geeignete Schutzmaßnahmen verantwortlich.

24. Automatisierte Entscheidungen und Profiling

LATEC setzt im Rahmen der Bereitstellung von phase0 keine ausschließlich automatisierten Entscheidungen im Sinne des Art. 22 DSGVO ein, die gegenüber einer betroffenen Person rechtliche Wirkung entfalten oder sie in ähnlich erheblicher Weise beeinträchtigen.

Ein Profiling zu Werbe- oder Marketingzwecken findet innerhalb von phase0 nicht statt.

25. Datenübermittlung in Drittländer

Einzelne eingesetzte Dienstleister können ihren Unternehmenssitz außerhalb der Europäischen Union beziehungsweise des Europäischen Wirtschaftsraums haben oder Daten aus solchen Ländern verarbeiten. Dies betrifft insbesondere die Zustellung von Push-Benachrichtigungen.

Eine Drittlandübermittlung erfolgt nur unter Einhaltung der Voraussetzungen der Art. 44 ff. DSGVO. Hierzu können dienen:

• ein Angemessenheitsbeschluss der Europäischen Kommission,
• das EU-U.S. Data Privacy Framework, soweit der jeweilige Empfänger wirksam zertifiziert ist,
• Standardvertragsklauseln der Europäischen Kommission,
• zusätzliche technische und organisatorische Schutzmaßnahmen.

Die Speicherung der produktiven phase0-Daten erfolgt in Frankfurt am Main.

26. Datensicherheit

LATEC trifft angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten. Die Maßnahmen berücksichtigen den Stand der Technik, die Implementierungskosten, Art und Umfang der Verarbeitung, die Verarbeitungszwecke sowie Eintrittswahrscheinlichkeit und Schwere möglicher Risiken.

Hierzu gehören insbesondere:

• durchgehend verschlüsselte Datenübertragung (HTTPS mit erzwungener Transportverschlüsselung),
• eine Inhaltssicherheitsrichtlinie des Browsers gegen das Einschleusen fremden Codes,
• Zugriffskontrollen und rollenbasierte Berechtigungen,
• Trennung der Mandanten (siehe Abschnitt 27),
• Speicherung von Passwörtern ausschließlich als Streuwert mit Zufallssalz (scrypt),
• verschlüsselte Ablage hinterlegter Zugangsdaten für den Mailversand,
• Schutz vor automatisierten Anmeldeversuchen durch wachsende Wartezeiten,
• Protokollierung sicherheitsrelevanter Vorgänge,
• Sicherungskopien der Datenbank mit siebentägiger Vorhaltung,
• regelmäßige Aktualisierung der eingesetzten Systeme,
• organisatorische Zugriffsbeschränkungen.

Die Datenbank ist ausschließlich innerhalb des privaten Netzes erreichbar und aus dem Internet nicht zugänglich.

Die konkrete Beschreibung der technischen und organisatorischen Maßnahmen wird Kunden im Rahmen des Auftragsverarbeitungsvertrages bereitgestellt.

27. Mandantentrennung

phase0 wird als mandantenfähige Anwendung betrieben. Die Trennung erfolgt nicht durch ein Kennzeichen innerhalb gemeinsamer Tabellen, sondern strukturell: Jeder Mandant erhält eine eigene Datenbank und einen eigenen Dateispeicher.

Welcher Mandant gemeint ist, ergibt sich aus dem Sitzungstoken der angemeldeten Person. Dieses wählt die zugehörige Datenbank aus; eine Sitzung eines Mandanten lässt sich in der Datenbank eines anderen nicht auflösen. Ein zusätzlicher Prüfschritt bricht die Verarbeitung ab, falls eine Verbindung einem anderen Mandanten zugeordnet wäre, als die Anfrage erwartet.

Benutzer eines Mandanten können nur auf Daten zugreifen, für die sie innerhalb ihres Mandanten und entsprechend ihrer Berechtigung autorisiert sind.

28. Rechte betroffener Personen

Betroffene Personen haben nach Maßgabe der gesetzlichen Voraussetzungen insbesondere folgende Rechte:

• Recht auf Auskunft gemäß Art. 15 DSGVO,
• Recht auf Berichtigung gemäß Art. 16 DSGVO,
• Recht auf Löschung gemäß Art. 17 DSGVO,
• Recht auf Einschränkung der Verarbeitung gemäß Art. 18 DSGVO,
• Recht auf Datenübertragbarkeit gemäß Art. 20 DSGVO,
• Recht auf Widerspruch gemäß Art. 21 DSGVO,
• Recht auf Widerruf einer erteilten Einwilligung gemäß Art. 7 Abs. 3 DSGVO.

29. An wen Betroffenenanfragen zu richten sind

Geht es um personenbezogene Daten, die innerhalb eines Kundenmandanten gespeichert sind, sollte sich die betroffene Person zunächst an das Unternehmen wenden, das ihr den phase0-Zugang bereitgestellt hat. Dieses Unternehmen ist in der Regel datenschutzrechtlich Verantwortlicher.

LATEC unterstützt seine Kunden entsprechend Art. 28 DSGVO bei der Bearbeitung von Betroffenenanfragen. Erhält LATEC eine Anfrage, die Kundendaten betrifft, kann sie an den zuständigen Kunden weitergeleitet werden, soweit dies datenschutzrechtlich zulässig und für die Bearbeitung erforderlich ist.

Betroffenenanfragen bezüglich Daten, für die LATEC selbst Verantwortlicher ist — einschließlich der Daten im eigenen Mandanten der LATEC GmbH —, können gerichtet werden an: LATEC GmbH Kunadstr. 3 01069 Dresden Deutschland E-Mail: kontakt@latec.gmbh

Wir antworten innerhalb eines Monats (Art. 12 Abs. 3 DSGVO); in Ausnahmefällen kann sich die Frist um zwei Monate verlängern, worüber wir dann unterrichten.

30. Widerspruchsrecht

Soweit personenbezogene Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeitet werden, besteht gemäß Art. 21 DSGVO das Recht, aus Gründen, die sich aus der besonderen Situation der betroffenen Person ergeben, jederzeit gegen diese Verarbeitung Widerspruch einzulegen.

LATEC verarbeitet die betreffenden personenbezogenen Daten anschließend nicht mehr, sofern nicht zwingende schutzwürdige Gründe für die Verarbeitung nachgewiesen werden können, die die Interessen, Rechte und Freiheiten der betroffenen Person überwiegen, oder die Verarbeitung der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dient.

31. Beschwerderecht bei einer Aufsichtsbehörde

Betroffene Personen haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Für die LATEC GmbH ist zuständig:

Die Sächsische Datenschutz- und Transparenzbeauftragte Maternistraße 17 01067 Dresden

Unabhängig davon kann eine Beschwerde auch bei einer anderen nach Art. 77 DSGVO zuständigen Datenschutzaufsichtsbehörde eingereicht werden.

32. Verpflichtung zur Bereitstellung personenbezogener Daten

Bestimmte personenbezogene Daten sind erforderlich, damit ein phase0-Benutzerkonto bereitgestellt beziehungsweise eine vertraglich vereinbarte Funktion genutzt werden kann. Ohne eine geschäftliche E-Mail-Adresse kann keine Anmeldung eingerichtet werden.

Welche weiteren Daten innerhalb eines Kundenmandanten verpflichtend bereitgestellt werden müssen, bestimmt der jeweilige verantwortliche Kunde.

33. Änderungen dieser Datenschutzerklärung

LATEC passt diese Datenschutzerklärung an, wenn sich die Anwendung, die eingesetzten Dienste, die technischen Verfahren oder die gesetzlichen Anforderungen ändern.

Maßgeblich ist die jeweils unter phase0.latec.gmbh/rechtliches veröffentlichte aktuelle Fassung.

Bei wesentlichen Änderungen, die für bestehende Benutzer von besonderer Bedeutung sind, wird zusätzlich innerhalb der Anwendung über die Änderung informiert.