Baurep

Datenschutzerklärung

1. Verantwortlicher

Baurep GmbH
Herr
Telefon: 0395-5591-0
E-Mail: baurep@baurep.de

Anfragen zum Datenschutz richten Sie bitte an die oben genannte Anschrift oder E-Mail-Adresse mit dem Stichwort „Datenschutz“.

2. Worum es geht

MyBaurep ist die interne Anwendung des Unternehmens für Projekte, Angebote, Aufmaß, Rechnungen, Zeiterfassung, Einsatzplanung und die Verwaltung von Ferienwohnungen. Öffentlich erreichbar sind nur die Anmeldung, die Roadmap, die Prüfseite für Rechnungen und diese Rechtstexte. Es gibt keine Werbung, kein Tracking und keine Analysedienste; Schriften und Programmteile werden vom eigenen Server geladen.

3. Welche Daten wir wofür verarbeiten

Beschäftigte: Benutzerkonto, Personalstammdaten (Anschrift, Telefon, Eintritt, Arbeitsform), Arbeitszeiten und Baustellenzuordnung, Urlaub und Abwesenheiten einschließlich Krankheitstagen, Einsatzplanung. Zweck: Durchführung des Beschäftigungsverhältnisses, Lohnabrechnung, gesetzliche Arbeitszeitaufzeichnung, Planung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO i. V. m. § 26 BDSG; Gesundheitsdaten (Krankheit, Arbeitsunfall) nach Art. 9 Abs. 2 lit. b DSGVO. Den Grund einer Abwesenheit sehen nur ausdrücklich berechtigte Personen; alle anderen sehen „abwesend“.

Kunden, Auftraggeber und Lieferanten: Kontaktdaten der Ansprechpartner, Angebote, Aufmaße, Rechnungen. Zweck: Vertragsanbahnung und -abwicklung, Buchhaltung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO.

Gäste der Ferienwohnungen: Name, Anschrift, Kontaktdaten, Aufenthaltszeitraum, Anzahl der Personen, Rechnungen. Zweck: Buchung, Abrechnung, gesetzliche Aufbewahrung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO.

Öffentliche Ausschreibungen: Kontaktangaben der Vergabestellen aus öffentlichen Bekanntmachungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Teilnahme an Vergabeverfahren).

Anmeldung und Sicherheit: Bei jeder Anmeldung und bei sicherheitsrelevanten Vorgängen (Rechtevergabe, Datenexport) werden Zeitpunkt, Konto, IP-Adresse und Browserkennung protokolliert. Zweck: Schutz der Daten vor unbefugtem Zugriff (Art. 32 DSGVO). Rechtsgrundlage: Art. 6 Abs. 1 lit. c und f DSGVO.

KI-Funktionen: Sofern aktiviert, werden Inhalte, die ein Nutzer ausdrücklich an die KI übergibt, an den vom Unternehmen betriebenen KI-Dienst übermittelt. Krankheitsdaten und freie Notizen aus der Zeiterfassung werden dabei nicht übermittelt.

Nutzungsstatistik: Sofern eingeschaltet, wird je Beschäftigtem und Tag festgehalten, welche Module der Anwendung wie oft aufgerufen und wie lange aktiv genutzt wurden (nur bei sichtbarem Fenster und Bedienung in den letzten fünf Minuten). Gespeichert werden ausschließlich Tagessummen – keine aufgerufenen Seiten, Datensätze oder Uhrzeiten. Zweck: Betrieb, Bedarfsplanung und Weiterentwicklung der Anwendung. Einsehen dürfen die Auswertung nur ausdrücklich berechtigte Personen; jeder Einblick wird protokolliert. Ihre eigenen Werte sehen Sie jederzeit unter „Einstellungen“. Rechtsgrundlage: § 26 BDSG, Art. 6 Abs. 1 lit. f DSGVO.

Push-Nachrichten: Nur wenn Sie sie auf einem Gerät selbst einschalten. Gespeichert werden die Zustelladresse, die Ihr Browser dafür erzeugt, eine Gerätebezeichnung (Browser und System) und der Zeitpunkt der letzten Zustellung. Zugestellt wird über den Push-Dienst des Browser- bzw. Geräteherstellers (z. B. Google, Apple, Mozilla). Der Inhalt ist dabei Ende-zu-Ende verschlüsselt; der Dienst sieht nur, dass und wann eine Nachricht an Ihr Gerät geht. Abschalten jederzeit unter „Einstellungen“; beim Abmelden wird das Gerät ausgetragen. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO.

4. Empfänger

Die Daten verbleiben auf den Servern des Unternehmens. Zugriff haben nur Beschäftigte mit der jeweils nötigen Berechtigung. Auftragsverarbeiter (z. B. Rechenzentrum, IT-Dienstleister, Dateiablage) sind nach Art. 28 DSGVO vertraglich gebunden. Eine Übermittlung in Drittländer findet nicht statt – mit einer Ausnahme: Wer Push-Nachrichten einschaltet, erhält sie über den Push-Dienst seines Browsers, der seinen Sitz auch außerhalb der EU haben kann (siehe oben; Inhalte verschlüsselt). Für Straßenvorschläge bei der Adresseingabe fragt der Server die öffentliche OpenPLZ API (openplzapi.org) ab. Dabei gehen nur der angefangene Straßenname und gegebenenfalls PLZ und Ort hinaus – keine Namen, keine Hausnummer, kein Bezug zu Kunde oder Projekt. Rechnungsdaten erhalten Steuerberatung und Finanzbehörden im Rahmen gesetzlicher Pflichten.

5. Speicherdauer

  • Benachrichtigungen in der App: 1 Jahr, danach gelöscht.
  • KI-Nutzungsprotokoll: 1 Jahr, danach gelöscht.
  • Sicherheitsprotokoll (Anmeldungen, Rechtevergaben, Exporte): 1 Jahr, danach gelöscht.
  • Versandvermerke für Fristen-Erinnerungen: 1 Jahr, danach gelöscht.
  • Update-Protokoll: 2 Jahre, danach gelöscht.
  • Zähler fehlgeschlagener Anmeldungen: 1 Monat, danach gelöscht.
  • Nutzungsstatistik (Tagessummen je Person und Modul): 3 Monate, danach gelöscht.
  • Ausgeschiedene Mitarbeiter: Konto, Stammdaten, Zeiterfassung, Abwesenheiten: 6 Jahre ab Ende des Kalenderjahres, danach anonymisiert.
  • Ferienwohnungen: Kontaktdaten und Notizen der Gäste: 3 Jahre ab Ende des Kalenderjahres, danach anonymisiert.
  • Rechnungen und Rechnungsprotokoll: 10 Jahre (§ 147 AO, § 257 HGB), danach Löschung von Hand.

6. Cookies und lokale Speicherung

Es werden ausschließlich technisch notwendige Cookies gesetzt: das Sitzungs-Cookie nach der Anmeldung (höchstens 12 Stunden gültig), ein Schutz-Cookie gegen Formularmissbrauch und – beim Kontowechsel – eine verschlüsselte Liste der auf diesem Gerät angemeldeten Konten. Im Browser werden Anzeigeeinstellungen gespeichert; der Suchverlauf wird beim Abmelden gelöscht. Wer Push-Nachrichten einschaltet, bekommt zusätzlich ein Cookie mit der Zustelladresse dieses Geräts, damit es beim Abmelden ausgetragen werden kann. Eine Einwilligung ist dafür nicht erforderlich (§ 25 Abs. 2 TDDDG).

7. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO). Wenden Sie sich dazu an den Verantwortlichen (Abschnitt 1); wir antworten innerhalb eines Monats. Außerdem können Sie sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), insbesondere in dem Bundesland, in dem Sie wohnen oder arbeiten.

8. Sicherheit

Die Übertragung ist verschlüsselt (TLS). Besonders schutzbedürftige Felder – Anschriften, Telefonnummern, Bankdaten, Krankheitsnotizen – sind in der Datenbank zusätzlich verschlüsselt, ebenso jede Datensicherung. Anmeldungen sind gegen Passwort-Raten gedrosselt.