Datenschutzerklärung
Datenschutzerklärung (Entwurf)
Platzhalter in eckigen Klammern. Vor Veröffentlichung die tatsächlich eingesetzten Dienstleister, Serverstandorte und Speicherfristen prüfen (Stand der App: 19. Oktober 2026).
1. Verantwortlicher
[FIRMA], [Anschrift], E-Mail: [datenschutz@DOMAIN]. Ein Datenschutzbeauftragter ist nicht benannt, da die Voraussetzungen des § 38 BDSG nicht vorliegen (prüfen, sobald mehr als 20 Personen ständig Daten verarbeiten).
2. Grundsätze
Wir verarbeiten so wenig Daten wie möglich. Die App läuft im Browser; Pläne ohne Konto bleiben auf Ihrem Gerät. Wir setzen keine Werbe- oder Analyse-Cookies, keine Tracking-Pixel und keine externen Schriften oder CDNs ein. Daher ist kein Einwilligungsbanner erforderlich (§ 25 Abs. 2 TDDDG).
3. Verarbeitungen im Einzelnen
| Zweck | Daten | Rechtsgrundlage | Speicherdauer |
|---|---|---|---|
| Aufruf der Website (Server-Protokoll) | IP-Adresse (gekürzt), Zeitpunkt, Pfad, Browserkennung | Art. 6 Abs. 1 lit. f DSGVO (Betrieb, Sicherheit) | 14 Tage |
| Lokale Speicherung im Browser (localStorage, IndexedDB, Service Worker) | Einstellungen, geöffnete Bereiche, Pläne offline | § 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. b DSGVO | bis Sie sie löschen |
| Konto | E-Mail, Passwort-Hash (Argon2id) bzw. Passkey-Schlüssel, Name (freiwillig) | Art. 6 Abs. 1 lit. b DSGVO | bis zur Kontolöschung |
| Sitzung | Sitzungs-Cookie (httpOnly, SameSite) | § 25 Abs. 2 Nr. 2 TDDDG | Sitzungsende bzw. 30 Tage |
| Projekte, Versionen, Kommentare, Freigaben | Planinhalte, Vorschaubilder, Kommentare, Namen/E-Mails Eingeladener | Art. 6 Abs. 1 lit. b DSGVO | bis zur Löschung; Papierkorb 30 Tage |
| Zahlung und Rechnung | Name, Anschrift, E-Mail, USt-IdNr., Tarif; Zahlungsdaten nur bei Stripe | Art. 6 Abs. 1 lit. b, c DSGVO (§ 147 AO, § 257 HGB) | 10 Jahre (Rechnungen) |
| Nachweis von Zustimmungen (AGB-Fassung, Widerrufs-Erklärungen beim Kauf) | E-Mail, Art der Erklärung, AGB-Fassung, Zeitpunkt | Art. 6 Abs. 1 lit. c, f DSGVO (Nachweis gegenüber Kunden und Behörden) | 3 Jahre nach Vertragsende (Verjährung), auch nach Kontolöschung |
| Kündigungen über „Verträge hier kündigen“ | Name, E-Mail, Vertrag, Kündigungsart und -zeitpunkt, Begründung, Zeitpunkt; keine IP – zur Missbrauchsbegrenzung kurzfristig ein Hashwert der IP (1 Stunde) | Art. 6 Abs. 1 lit. b, c DSGVO (§ 312k BGB) | 3 Jahre nach Eingang |
| Transaktions-E-Mails (Bestätigung, Passwort, Rechnung) | E-Mail-Adresse, Inhalt | Art. 6 Abs. 1 lit. b DSGVO | 90 Tage beim Versanddienst |
| Beta-Warteliste (nur auf Ihren Eintrag) | E-Mail, Sprache, Eintragsseite, Zeitpunkte von Eintrag und Bestätigung | Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, Bestätigung per E-Mail-Link) | unbestätigt 7 Tage; sonst bis zur Abmeldung über den Link in der E-Mail (dann Löschung); keine Dienste Dritter |
| Bibliothekswunsch „Fehlt etwas?“ (nur auf Ihre Meldung) | Ihr Wunsch, Bereich, Anmerkung, Suchwort, App-Version; angemeldet die Verknüpfung mit Ihrem Konto, sonst freiwillig eine E-Mail-Adresse für Rückfragen; keine IP-Adresse | Art. 6 Abs. 1 lit. f DSGVO (Verbesserung der Bibliothek); E-Mail: Art. 6 Abs. 1 lit. a DSGVO (freiwillige Angabe) | E-Mail-Adresse 12 Monate, Wunsch 24 Monate; keine Dienste Dritter |
| Fehlerbericht aus der App (nur auf Ihre Meldung, Menü → Hilfe → „Fehler melden“) | Ihre Beschreibung, Art der Meldung; angemeldet die Verknüpfung mit Ihrem Konto, sonst freiwillig eine E-Mail-Adresse für Rückfragen; automatisch technische Angaben zur Fehlersuche (Seitenadresse ohne Geheimnisse, App-Version, Browser, Bildschirm, Grafik, 3D-Stufe, die letzten Programmfehler und Anfragen mit Anfragekennung, die zuletzt benutzten Funktionen – keine Eingaben – sowie die zufällige Sitzungskennung der Nutzungsstatistik, damit wir den Ablauf vor dem Fehler nachvollziehen können); nur mit Ihrem Häkchen ein lokal im Browser erzeugtes Bildschirmfoto der App und Ihr aktueller Entwurf; keine IP-Adresse | Art. 6 Abs. 1 lit. b und f DSGVO (Fehlerbehebung, Verbesserung des Dienstes); E-Mail-Adresse, Bildschirmfoto und Entwurf: Art. 6 Abs. 1 lit. a DSGVO (freiwillige Angabe, Einwilligung durch Absenden) | E-Mail-Adresse 12 Monate, Bericht mit Bildschirmfoto, Entwurf und unseren Antworten 24 Monate; auf Wunsch früher gelöscht; keine Dienste Dritter (Antworten als E-Mail über unseren Mailserver) |
| Nutzungsstatistik ohne Cookies | Tageszahlen bestimmter Vorgänge (Registrierung, erster gespeicherter Plan, Kauf/Buchung, Testphase, Warteliste, Bibliothekswunsch) sowie Ereignisse aus der App: genutzte Werkzeuge, Ansichten und Funktionen, Exportformate, Fehlermeldungen (gekürzt, ohne Inhalte) und Leistungswerte (Bildrate, Ladezeiten, Speicher) – jeweils nur als Aufzählungswert oder Zahl, dazu Geräteklasse (Rechner/Tablet/Telefon), Browser-Familie, Fenstergröße und App-Version. Zur Zuordnung eines Ablaufs eine zufällige Sitzungskennung, die nur im Arbeitsspeicher des Browsers lebt (kein Cookie, kein Web-Storage) und mit dem Schließen der Seite endet. Kein Planinhalt, keine Texte, keine Dateinamen, kein Bezug zu Personen, Konten oder IP-Adressen (IP nur kurzfristig als Hashwert zur Missbrauchsbegrenzung). Nicht gesendet, wenn Ihr Browser „Do Not Track“ oder Global Privacy Control signalisiert oder Sie die Statistik unter Menü → Datenschutz abschalten | Art. 6 Abs. 1 lit. f DSGVO (Verbesserung und Stabilität des Dienstes); § 25 TDDDG mangels Zugriff auf das Endgerät nicht berührt | Einzelereignisse 30 Tage; Tageszahlen unbegrenzt (anonym) |
| Kontakt per E-Mail | Ihre Angaben | Art. 6 Abs. 1 lit. b, f DSGVO | bis zur Erledigung, max. 3 Jahre |
| Skizzen-Erkennung („Skizze erkennen“, nur auf Ihre Anforderung) | hochgeladenes Bild bzw. Skizze; Protokoll: Zeitpunkt, Konto, Modell, Umfang (Token), Kosten, Dauer | Art. 6 Abs. 1 lit. b DSGVO | Bild nur für diese Anfrage, bei uns nicht gespeichert; Protokoll 12 Monate |
4. Empfänger und Auftragsverarbeiter
- Hosting: Railway Corporation, USA – Server-Region [EU-West, prüfen]; Auftragsverarbeitungsvertrag und EU-Standardvertragsklauseln bzw. EU-US Data Privacy Framework (prüfen).
- Zahlung: Stripe Payments Europe Ltd., Irland (eigene Verantwortlichkeit für Zahlungsdaten).
- E-Mail-Versand: [Anbieter, Land].
- Domain/DNS: InterNetworX Ltd. & Co. KG (inwx), Deutschland.
- Skizzen-Erkennung: Wenn Sie die Funktion „Skizze erkennen“ nutzen, übermitteln wir das hochgeladene Bild zur automatischen Auswertung an Anthropic PBC (USA) als Auftragsverarbeiter. Das Bild wird nur für diese Anfrage verarbeitet und von uns nicht gespeichert. Übermittlung auf Grundlage von Standardvertragsklauseln bzw. des EU-US Data Privacy Framework (Vertrag und Zertifizierung vor Freischaltung prüfen). Bitte laden Sie keine Bilder mit personenbezogenen Daten Dritter hoch.
Eine Übermittlung in Drittländer erfolgt nur mit geeigneten Garantien (Art. 44 ff. DSGVO).
5. Ihre Rechte
Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen nach Art. 6 Abs. 1 lit. f (Art. 21 DSGVO). Export und Löschung Ihres Kontos können Sie jederzeit selbst im Konto-Menü auslösen. Sie können sich bei einer Aufsichtsbehörde beschweren, z. B. bei [Landesbeauftragte/r für den Datenschutz des Sitzlandes].
6. Pflicht zur Bereitstellung, keine automatisierten Entscheidungen
Für ein Konto ist eine E-Mail-Adresse erforderlich. Automatisierte Entscheidungen im Sinne von Art. 22 DSGVO finden nicht statt. Die Entwurfs- und Baurechtsprüfung bewertet Pläne, keine Personen.