Datenschutzerklärung

Verantwortlicher

Welche Daten werden verarbeitet

• WhatsApp-Nachrichten von Baustellen, einschließlich ggf. übermittelter Fotos
• Namen und Arbeitszeiten von Mitarbeitenden, sofern in Berichten erfasst
• Kontaktdaten der Kundenorganisation (Telefonnummer, E-Mail)
• Auf der Baustelle verbrauchte Materialien und Mengen
• Zugangsdaten von Nutzern des Dashboards (z. B. Bürokräfte): Name, E-Mail-Adresse, Passwort (nur als Hash gespeichert), Rolle und Berechtigungen, Zeitpunkt der Kenntnisnahme dieser Datenschutzerklärung, Sitzungsdaten sowie Protokolleinträge zu Aktionen im Dashboard (z. B. Freigabe eines Berichts)
• Für eine Einladung zum Dashboard: die E-Mail-Adresse der eingeladenen Person

Zwecke und Rechtsgrundlage der Verarbeitung

Die Verarbeitung erfolgt zur Erfüllung des Vertrags über die Nutzung des digitalen Baustellentagebuchs, Art. 6 Abs. 1 lit. b DSGVO.

Soweit dabei Daten von Mitarbeitenden der Kundenorganisation verarbeitet werden (Namen, Arbeitszeiten), handelt Werkfin im Auftrag der jeweiligen Kundenorganisation als Auftragsverarbeiter (Art. 28 DSGVO). Die Rechtsgrundlage für diese Verarbeitung liegt bei der Kundenorganisation als Arbeitgeber (Beschäftigungsverhältnis, § 26 BDSG i. V. m. Art. 6 Abs. 1 lit. b DSGVO).

Zugangsdaten von Nutzern des Dashboards werden verarbeitet, um Einladungen zu versenden, die Anmeldung zu ermöglichen, Berechtigungen umzusetzen und Aktionen nachvollziehbar zu machen. Es handelt sich um Beschäftigte der Kundenorganisation, die den Zugang für ihre Tätigkeit erhält; Werkfin verarbeitet diese Daten im Auftrag der Kundenorganisation (Art. 28 DSGVO; Art. 6 Abs. 1 lit. b DSGVO i. V. m. § 26 BDSG). Die eingeladene Person bestätigt bei der Registrierung, diese Datenschutzerklärung gelesen zu haben; das ist eine Information nach Art. 13 DSGVO, keine Einwilligung.

Empfänger und Auftragsverarbeiter

• WhatsApp Ireland Limited (Meta Platforms Ireland Ltd), Merrion Road, Dublin 4, D04 X2K5, Irland – Versand und Empfang von WhatsApp-Nachrichten über die WhatsApp Cloud API sowie Speicherung von Bild-/Audiodateien, solange diese über die von Meta bereitgestellte Medien-URL abrufbar sind (Datenübermittlung in die USA auf Basis der WhatsApp Business Data Processing Terms von Meta)
• OpenAI Ireland Ltd – automatisierte Extraktion von Berichtsdaten aus Nachrichten, einschließlich Transkription von Sprachnachrichten; dazu werden als Kontext die Namen des Absenders und der Kollegen sowie die offenen Aufträge der Kundenorganisation (Kunde, Baustelle, Adresse) als Kontext übermittelt, damit die KI die Nachricht dem richtigen Auftrag zuordnen und Rückfragen formulieren kann (Datenübermittlung in die USA auf Basis von Standardvertragsklauseln gemäß OpenAI-Auftragsverarbeitungsvertrag; Eingaben werden dort bis zu 30 Tage zur Missbrauchserkennung gespeichert und nicht zum Training genutzt)
• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen – Hosting der Anwendung und Datenbank
• IONOS SE, Montabaur – Versand von System-E-Mails
• Functional Software, Inc. (Sentry), 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA – Fehlerüberwachung (Error Monitoring) der Anwendung zur Erkennung und Behebung technischer Störungen; die Verarbeitung erfolgt ausschließlich auf Servern in der EU (Frankfurt), keine Übermittlung in Drittländer. Cookies und der Authorization-Header werden vor dem Versand aus jedem Fehlerereignis entfernt.

Mit allen genannten Dienstleistern bestehen bzw. werden Verträge zur Auftragsverarbeitung (Art. 28 DSGVO) geschlossen.

Speicherdauer

Die Speicherfristen sind je Organisation konfigurierbar und betragen im Standardfall:

• WhatsApp-Nachrichten (Rohtext/Transkript): 90 Tage, danach automatisch gelöscht
• Audit-Protokolle: 365 Tage
• Einladungen zum Dashboard (mit E-Mail-Adresse): bis 30 Tage nach ihrem Ende (angenommen, zurückgezogen oder abgelaufen), danach automatisch gelöscht
• Sitzungen im Dashboard: 8 Stunden ab der Anmeldung
• Zugangsdaten eines Dashboard-Nutzers: solange der Zugang besteht; ein gesperrter oder gelöschter Zugang ist sofort ohne Wirkung, die Löschung erfolgt auf Antrag oder mit Beendigung des Vertrags

Tagesberichte (Arbeits- und Materialeinträge, einschließlich übermittelter Fotos) werden davon unabhängig dauerhaft aufbewahrt und nicht automatisch gelöscht – sie sind die Bau-Dokumentation selbst, nicht nur ein Beleg für die handelsrechtliche Aufbewahrungspflicht von mindestens 6 Jahren (§ 257 Abs. 4 HGB), die hierfür nur die Untergrenze markiert.

Betroffenenrechte

Ihnen stehen die Rechte auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO), Datenübertragbarkeit (Art. 20 DSGVO) sowie Widerspruch (Art. 21 DSGVO) zu.

Angemeldete Nutzer können einen Export ihrer Daten selbständig über den Bereich „Datenschutz“ im Dashboard anfordern; Löschanträge werden dort ebenfalls bearbeitet.

Mitarbeitende, die nur per WhatsApp schreiben (Monteure), wenden sich für Auskunft, Berichtigung und Löschung an ihren Arbeitgeber oder an info@werkfin.de. Der Arbeitgeber kann Auskunft (Export) und Löschung im Dashboard unter „Team“ veranlassen.

Beschwerderecht bei einer Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Zuständig ist in der Regel die Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts oder des Orts des mutmaßlichen Verstoßes.

Für uns zuständig: Die Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover, poststelle@lfd.niedersachsen.de

Kontakt für Datenschutzanfragen