1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

ELMETIC GmbH
E-Mail: support@bauherrenportal.at

Soweit Franchisenehmer (Elektroinstallationsbetriebe) das Bauherrenportal nutzen, um Daten ihrer Kunden (Bauherren) zu verwalten, handeln diese als eigenverantwortliche Verantwortliche im Sinne der DSGVO. Die ELMETIC GmbH ist in diesem Fall Auftragsverarbeiterin gemäß Art. 28 DSGVO. Näheres regelt der Auftragsverarbeitungsvertrag (AVV).

2. Erhobene Daten

Im Rahmen der Nutzung des Bauherrenportals werden folgende personenbezogene Daten verarbeitet:

Datenkategorie	Zweck	Rechtsgrundlage
Name, E-Mail-Adresse	Benutzerverwaltung, Kommunikation	Art. 6 Abs. 1 lit. b DSGVO
Passwort (verschlüsselt)	Authentifizierung	Art. 6 Abs. 1 lit. b DSGVO
Projektdaten, Dokumente, Bilder	Vertragserfüllung (Bauprojektverwaltung)	Art. 6 Abs. 1 lit. b DSGVO
IP-Adresse, User-Agent	Sicherheit, Session-Verwaltung	Art. 6 Abs. 1 lit. f DSGVO
Einladungs- und Reset-Tokens	Zugangssteuerung	Art. 6 Abs. 1 lit. b DSGVO

3. Zweck der Datenverarbeitung

Ihre Daten werden ausschließlich für folgende Zwecke verarbeitet:

• Bereitstellung und Betrieb des Bauherrenportals
• Verwaltung Ihres Benutzerkontos
• Darstellung und Verwaltung von Bauprojekten
• Kommunikation im Zusammenhang mit Ihrem Konto (z. B. Einladungen, Passwort-Reset)
• Sicherstellung der IT-Sicherheit (Session-Logs)

4. Datenspeicherung und -löschung

Ihre personenbezogenen Daten werden nur so lange gespeichert, wie es für den jeweiligen Zweck erforderlich ist. Benutzerkonten werden auf Anfrage oder nach Deaktivierung gelöscht. Einladungs-Token verfallen nach 7 Tagen automatisch. Passwort-Reset-Token verfallen nach 1 Stunde.

5. Weitergabe an Dritte

Daten werden nicht an Dritte weitergegeben, außer:

• im Rahmen der Projektfreigabe an andere Franchisenehmer (nur mit ausdrücklicher Zustimmung des Kunden),
• wenn eine gesetzliche Verpflichtung zur Weitergabe besteht.

6. E-Mail-Versand

Das Portal versendet automatisierte E-Mails (Einladungen, Passwort-Reset, Projektbenachrichtigungen) über den Mailserver bauherrenportal.at. Die E-Mail-Adresse des Empfängers wird ausschließlich für den jeweiligen Versandvorgang verwendet.

7. Ihre Rechte

Sie haben gemäß DSGVO folgende Rechte:

• Auskunft (Art. 15 DSGVO): Sie können jederzeit Auskunft über die über Sie gespeicherten Daten verlangen.
• Berichtigung (Art. 16 DSGVO): Sie können die Berichtigung unrichtiger Daten verlangen.
• Löschung (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen, sofern keine gesetzliche Aufbewahrungspflicht besteht.
• Einschränkung (Art. 18 DSGVO): Sie können die Einschränkung der Verarbeitung verlangen.
• Widerspruch (Art. 21 DSGVO): Sie können der Verarbeitung widersprechen.
• Beschwerde: Sie haben das Recht, sich bei der österreichischen Datenschutzbehörde (dsb.gv.at) zu beschweren.

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an: support@bauherrenportal.at

8. Speicherort & Auftragsverarbeiter

Alle im Bauherrenportal hochgeladenen Dateien (Fotos, Dokumente, 360°-Bilder, Prüfbefunde, Protokolle, Rechnungen etc.) werden in einem Cloud-Objektspeicher innerhalb der Europäischen Union gespeichert. Die Datenhaltung erfolgt auf Servern der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland — Rechenzentrums-Standort: Falkenstein/Nürnberg (Deutschland). Hetzner ist ISO/IEC 27001 zertifiziert.

Rechtsgrundlage der Auslagerung ist Art. 28 DSGVO; mit Hetzner besteht ein entsprechender Auftragsverarbeitungsvertrag. Eine Datenübermittlung in Drittländer außerhalb der EU/des EWR findet nicht statt.

Datenbank und Anwendungsserver werden innerhalb der EU von Hetzner Online GmbH im Rechenzentrum Nürnberg (Deutschland) betrieben. Backups der Datenbank werden bei entsprechender Konfiguration mit age verschlüsselt aufbewahrt (empfohlene Produktions-Konfiguration).

8.1 Wer hat Zugriff auf Ihre Daten?

• Sie selbst – über Ihr persönliches Login (als Bauherr/Endkunde bzw. als Admin-Nutzer Ihres Franchise-Betriebs).
• Der jeweilige Franchisenehmer (Betreiber Ihres Portals) und dessen autorisierte Mitarbeiter – ausschließlich zur Vertragserfüllung (Bauprojektbegleitung).
• ELMETIC GmbH als technischer Dienstleister (Superadmin) – nur im erforderlichen Umfang zur Wartung, Störungsbehebung und Systemadministration.
• Hetzner Online GmbH als Hosting-Auftragsverarbeiter – hat ausschließlich Zugriff auf verschlüsselte Dateien, nicht auf Klartextinhalte.

Dritten außerhalb dieses Kreises (z. B. Behörden, andere Franchisenehmer, Werbetreibende) werden Ihre Daten nicht zugänglich gemacht. Ausnahmen nur bei gesetzlicher Verpflichtung.

9. Datensicherheit

Das Bauherrenportal verwendet umfassende technische und organisatorische Maßnahmen zum Schutz Ihrer Daten:

• Verschlüsselung im Ruhezustand (at-rest): Alle hochgeladenen Dateien werden vor der dauerhaften Speicherung serverseitig mit AES-256-GCM verschlüsselt. Der Anwendungsserver sieht die Datei beim Upload kurzzeitig im Klartext, der Cloud-Anbieter (Hetzner) hingegen speichert ausschließlich verschlüsselte Bytes und kann den Inhalt nicht lesen.
• Transportverschlüsselung (in-transit): Alle Verbindungen – vom Endgerät zum Portal sowie zwischen Portal und Cloud-Speicher – erfolgen über TLS 1.2+ (HTTPS).
• Mandantenisolation: Jeder Franchisenehmer hat einen eigenen, getrennten Speicherbereich. Bei Installationen mit eigenem Cloud-Speicher (BYOS) werden die S3-Zugangsschlüssel pro Mandant individuell vergeben und in der Datenbank ausschließlich verschlüsselt (AES-256-GCM) abgelegt. Die Dateiverschlüsselung selbst erfolgt mit einem serverspezifischen Masterschlüssel.
• Signierte Zugriffs-URLs: Dateien sind nur über zeitlich begrenzte, HMAC-SHA256-signierte URLs abrufbar. Die Standard-Gültigkeit beträgt 15 Minuten, je nach Anwendungsfall (z. B. Downloads großer Übergabepakete) sind bis zu 4 Stunden möglich. Es gibt keinen öffentlichen Direkt-Link in den Cloud-Speicher.
• Kein öffentlicher Bucket-Zugriff: Der Cloud-Bucket ist nicht öffentlich erreichbar; anonyme Zugriffe werden mit HTTP 403 abgelehnt.
• Passwörter: werden ausschließlich als bcrypt-Hash (12 Runden) gespeichert — nie im Klartext.
• Token-Sicherheit: Session-, Einladungs-, Passwort-Reset- und Formular-Signatur-Tokens werden ausschließlich als SHA-256-Hash gespeichert.
• Session-Management: Sessions werden nach Passwort-Änderung automatisch widerrufen, maximale Sitzungsdauer 12 Stunden.
• Zugriffsprotokollierung: Admin- und Superadmin-Zugriffe auf Kundendaten werden in einem Audit-Log protokolliert.

Die vollständige Liste unserer technischen und organisatorischen Maßnahmen finden Sie in unserem TOM-Dokument.

10. Cookies und lokaler Speicher

Das Portal speichert im lokalen Speicher (localStorage) des Browsers folgende Daten:

• Sitzungs-Token (bp_token): Authentifizierung gegenüber dem Server.
• Benutzer-Kurzprofil (bp_user): Name, E-Mail-Adresse, Rolle und Mandanten-Zuordnung — zur Beschleunigung der Oberflächen-Anzeige.
• Einstellungen (bp_theme, bp_onboarding_done, bp_lastSync, bp_return_url): persönliche Anzeige-Präferenzen und Workflow-Hilfen.

Zusätzlich wird ein lokaler Offline-Cache (IndexedDB) angelegt, der zuletzt aufgerufene Projektdaten und in Warteschlange wartende Foto-Uploads enthält. Dieser Cache wird beim Abmelden geleert.

Es findet kein Tracking statt, es werden keine Werbecookies und keine Drittanbieter-Cookies gesetzt.

11. Änderungen dieser Datenschutzerklärung

Diese Datenschutzerklärung kann bei Bedarf aktualisiert werden. Die jeweils aktuelle Version ist im Portal abrufbar. Das Datum der letzten Aktualisierung ist oben angegeben.