Datenschutzerklärung

Verantwortlich für die Verarbeitung Ihrer Daten im Sinne von Art. 4 Nr. 7 DSGVO ist:

Für Fragen zum Datenschutz und zur Ausübung Ihrer Rechte genügt eine Nachricht an diese Adresse. Sie brauchen dafür kein Formular und keine Begründung. Einen Datenschutzbeauftragten haben wir nicht bestellt; die Voraussetzungen des Art. 37 DSGVO und des § 38 BDSG liegen nicht vor. Weitere Angaben zum Anbieter stehen im Impressum.

Sie können ein Dokument hochladen, ohne sich zu registrieren. Damit wir es auswerten können, verarbeiten wir:

• Die Datei selbst — mit allem, was darin steht. In einer Bau- und Leistungsbeschreibung oder einem Angebot stehen regelmäßig auch personenbezogene Angaben: Ihr Name, die Anschrift des Grundstücks, Ansprechpartner beim Bauunternehmen.
• Dateiname, Dateityp, Größe und Seitenzahl — um die Verarbeitung zu steuern und Ihnen anzuzeigen, was gerade geschieht.
• Zeitpunkt des Uploads und Ihre IP-Adresse — als Nachweis, dass Sie die Datenschutzerklärung zur Kenntnis genommen und die AGB bestätigt haben, und zur Abwehr von Missbrauch des Uploads. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, den Vertragsschluss im Streitfall belegen und Angriffe auf den Dienst erkennen zu können. Die vollständige IP-Adresse bleibt dafür 14 Tage; danach kürzen wir sie auf das Netz (bei IPv4 ohne das letzte Oktett, bei IPv6 auf das Präfix), sodass sie Ihnen nicht mehr zuzuordnen ist. Wie lange der Nachweis insgesamt bleibt, steht in Abschnitt 08.
• Angaben zu Ihrem Bauvorhaben — die Sie freiwillig in der Auswertung ergänzen können — Postleitzahl des Grundstücks, Wohnfläche, Grundrissmaße, Zahl der Etagen, Unterkellerung, Ausstattungsstandard, Energieklasse — sowie Postleitzahlen, die wir in Ihrem Dokument finden. Die Postleitzahl lösen wir zu Landkreis, Bundesland und Regionalklasse auf, um die Kostenschätzung fehlender Leistungen an Ihre Region anzupassen; das geschieht auf unseren eigenen Servern. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Diese Angaben werden mit Ihren Dokumenten gelöscht.
• Die Auswertung — die aus Ihrem Dokument entsteht — der ausgelesene Text und die strukturierte Analyse.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO: Die Auswertung ist genau die Leistung, die Sie mit dem Upload angefordert haben. Soweit in Ihrem Dokument Daten anderer Personen stehen — etwa Mitarbeitender des Bauunternehmens —, verarbeiten wir diese auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO — nur soweit sie für die Auswertung erforderlich sind und die Interessen dieser Personen nicht überwiegen. Unser berechtigtes Interesse ist die Durchführung der von Ihnen angeforderten Auswertung. Angaben, die Sie nicht brauchen — etwa Namen von Sachbearbeitern —, können Sie vor dem Upload schwärzen; die Auswertung leidet darunter nicht.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO — Gesundheitsdaten, religiöse oder politische Angaben — fragen wir nicht ab und erwarten sie in Baudokumenten auch nicht. Bitte entfernen Sie solche Angaben vor dem Upload — etwa einen Hinweis auf eine Behinderung im Zusammenhang mit barrierefreiem Bauen. Sind sie dennoch enthalten, werden sie wie das übrige Dokument nur für Ihre Auswertung verarbeitet und mit ihm gelöscht; wir werten sie nicht gesondert aus.

Ihr Dokument wird automatisiert von KI-Systemen gelesen und ausgewertet. Das geschieht in drei Schritten: Der Text wird aus der Datei ausgelesen, der Dokumenttyp wird bestimmt, und anschließend werden Leistungen, Ausschlüsse, Fristen und Vorbehalte herausgearbeitet. Bei mehreren Dokumenten kommt die Gegenüberstellung hinzu.

Die Texterkennung bei Fotos und Scans läuft, soweit möglich, auf unseren eigenen Servern. Für das Verstehen des Inhalts setzen wir große Sprachmodelle ein, die wir nicht selbst betreiben — die Anbieter sind unten namentlich genannt. Dabei wird der vollständige Inhalt Ihres Dokuments an den jeweiligen Anbieter übermittelt.

Kein Training. Mit allen eingesetzten Anbietern ist vertraglich ausgeschlossen, dass Ihre Dokumente oder deren Inhalte zum Training oder zur Verbesserung von Modellen verwendet werden. Die Anbieter verarbeiten ausschließlich nach unserer Weisung.

Anonymisierte Kennzahlen — nicht aus Gast-Dokumenten. Was Sie als Gast hochladen, verarbeiten wir ausschließlich für Ihre Auswertung. Es fließt in keine Statistik und in keine Kennzahl ein — auch dann nicht, wenn Sie später ein Konto anlegen und dort Kennzahlen erlauben. Kennzahlen bilden wir nur aus Dokumenten und Auswertungen, die Sie mit einem Konto hochladen und für die Sie bei der Registrierung gesondert eingewilligt haben (Art. 6 Abs. 1 lit. a DSGVO). Dafür gilt: Namen, Anschriften, Ansprechpartner und alle Angaben, die ein Dokument, eine Person oder ein Bauvorhaben erkennbar machen, werden entfernt; erst das Ergebnis wird zusammengefasst — etwa zu Preisspannen je Gewerk oder dazu, wie häufig eine Leistung ausgeschlossen wird. Wir beginnen damit frühestens 14 Tage nach Vertragsschluss. Die Einwilligung können Sie in den Kontoeinstellungen jederzeit für die Zukunft zurücknehmen; bereits gebildete Kennzahlen sind keine personenbezogenen Daten mehr und bleiben bestehen. Dokumente oder Auswertungen selbst werden nie weitergegeben, sondern nur zusammengefasste Zahlen.

Keine automatisierte Entscheidung über Sie. Die Auswertung ist eine Aufbereitung Ihres eigenen Dokuments. Sie trifft keine Entscheidung über Sie, hat keine rechtliche Wirkung Ihnen gegenüber und beeinträchtigt Sie nicht in ähnlicher Weise — eine automatisierte Entscheidung im Einzelfall nach Art. 22 DSGVO findet nicht statt.

Was die Auswertung nicht ist. KI-Systeme können sich irren, Angaben übersehen oder falsch zuordnen. Die Auswertung ersetzt keine Rechts-, Bau- oder Finanzierungsberatung. Maßgeblich bleibt immer das Originaldokument.

Wenn Sie sich registrieren, verarbeiten wir Vorname, Nachname, E-Mail-Adresse, Postleitzahl und die Angabe, in welcher Phase Ihres Bauvorhabens Sie stehen. Die Kontodaten hält unsere eigene Nutzerverwaltung (Keycloak), die wir selbst betreiben — im selben Rechenzentrum wie die Website (Abschnitt 06). Ein Passwort gibt es nicht: Sie melden sich mit einem Link an, den wir Ihnen per E-Mail schicken; er ist eine Stunde gültig. Nach der Anmeldung legen wir ein Sitzungs-Cookie ab (Abschnitt 05). Die Postleitzahl und die Bauphase brauchen wir, um Ihnen Hinweise zu geben, die zu Ihrem Bundesland und zu Ihrem Zeitpunkt passen — Landesbauordnung und Landesförderung unterscheiden sich. Die Registrierung ist ein eigener Vertrag (AGB, Teil B): Mit dem Absenden beantragen Sie ihn, mit dem Klick auf den Bestätigungslink in unserer E-Mail kommt er zustande. In diesem Moment senden wir Ihnen die AGB als PDF.

Rechtsgrundlage für die Kontodaten, die Bestätigungs-E-Mail, die Vertragsbestätigung und eine Widerrufsquittung ist Art. 6 Abs. 1 lit. b DSGVO — sie sind Teil des Vertrags, keine Werbung. Werbliche E-Mails schicken wir nur mit einer eigenen Einwilligung. Die Einwilligung in Kennzahlen (Abschnitt 03) ist davon getrennt und freiwillig. Bestätigen Sie den Link nicht innerhalb von 72 Stunden, löschen wir die eingegebenen Kontodaten.

Ihre Kontaktdaten werden nicht an Bauunternehmen, Bauträger, Vermittler oder sonstige Dritte verkauft oder weitergegeben. Sollten wir eine solche Weitergabe jemals anbieten wollen, geschähe das über eine eigene, gesondert zu erteilende Einwilligung — nie stillschweigend über diese hier.

Wenn Sie uns schreiben — per E-Mail an die Adresse oben oder über die Kontaktseite —, verarbeiten wir Ihre Absenderadresse, den Inhalt der Nachricht und beigefügte Dateien, um Ihr Anliegen zu bearbeiten. Betrifft es Ihren Vertrag, ist Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO; sonst unser berechtigtes Interesse, Anfragen zu beantworten (Art. 6 Abs. 1 lit. f DSGVO). Nach Erledigung löschen wir die Korrespondenz, spätestens nach zwölf Monaten — es sei denn, sie gehört zu einem Vorgang, den wir länger belegen müssen.

Wir setzen so wenig wie möglich im Browser ab. Ohne Ihre Einwilligung sind das genau drei Dinge, und alle drei sind für den Betrieb erforderlich:

• urq_gast — ein Cookie mit einer zufälligen Kennung, ein Jahr gültig. Es ist der einzige Weg, wie Sie Ihre Auswertung ohne Konto beim nächsten Besuch wiederfinden. Es ist für Skripte unlesbar (httpOnly) und enthält keine direkt lesbaren Angaben wie Name oder Anschrift. Die Kennung selbst ist ein personenbezogenes Datum, weil sie Ihre Dokumente Ihrem Browser zuordnet.
• urq_konto — nur mit Konto: ein verschlüsseltes Cookie mit Ihrer Anmeldung, 30 Tage gültig, für Skripte unlesbar (httpOnly). Es enthält Ihre Kennung bei unserer Nutzerverwaltung und Ihre E-Mail-Adresse — verschlüsselt, sodass nur unser Server sie lesen kann. Beim Abmelden wird es gelöscht. Für die Dauer der Anmeldung selbst legt unsere Nutzerverwaltung unter account.cloud.qlein.dev eigene Sitzungs-Cookies ab.
• urq.einwilligung.v1 — ein Eintrag im lokalen Speicher Ihres Browsers, der festhält, wann Sie eingewilligt haben. Er sorgt dafür, dass Sie die Häkchen nicht bei jedem Upload erneut setzen müssen. Er verlässt Ihren Browser nicht.

Alles drei ist nach § 25 Abs. 2 Nr. 2 TDDDG unbedingt erforderlich, um den von Ihnen ausdrücklich gewünschten Dienst zu erbringen, und deshalb nicht einwilligungspflichtig. Alles Weitere — die Dienste zur Reichweitenmessung und Werbung unten — wird erst geladen, nachdem Sie zugestimmt haben.

Erst mit Ihrer Einwilligung im Banner kommen Cookies von Google hinzu, und zwar nur für die Zwecke, die Sie dort angehakt haben:

• Reichweitenmessung — _ga und _ga_* (Google Analytics), zwei Jahre gültig. Sie enthalten eine zufällige Kennung, mit der wiederkehrende Besuche demselben Browser zugeordnet werden.
• Anzeigen — _gcl_au, _gcl_aw und _gcl_gs (Google Ads), 90 Tage gültig. Sie halten fest, ob Sie über eine unserer Anzeigen gekommen sind — siehe Abschnitt 07.

Ihre Einwilligung dazu speichern wir unter urq.cookies.v1 im lokalen Speicher Ihres Browsers, getrennt von der Einwilligung zum Upload. Sie können sie jederzeit unter Einwilligungen ändern; bereits gesetzte Google-Cookies löschen Sie in den Einstellungen Ihres Browsers.

Wir setzen Dienstleister ein, die nach unserer Weisung verarbeiten. Mit ihnen bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO. Eine Ausnahme ist Google Ads: Dort sind wir und Google für das Conversion-Tracking gemeinsam verantwortlich (Art. 26 DSGVO) — was das heißt, steht in Abschnitt 07. Wo Daten in ein Drittland gelangen, ist die dafür maßgebliche Grundlage genannt.

Eine vollständige, laufend gepflegte Übersicht dieser Dienste führen wir intern; die Liste auf dieser Seite stammt aus derselben Quelle und kann deshalb nicht hinter ihr zurückbleiben.

Wir schalten Anzeigen bei Google — vor allem Suchanzeigen zu den Problemen, die diese Website löst. Um zu wissen, ob eine Anzeige dazu geführt hat, dass jemand bis zur Auswertungsseite oder zur Registrierungsbestätigung gekommen ist, setzen wir das Conversion-Tracking von Google Ads ein. Es misst Seitenaufrufe, nicht den Upload selbst, und ist von dem Vertrag über Ihre Auswertung unabhängig. Es läuft über den Google Tag Manager und damit nur, wenn Sie im Banner „Google Tag Manager“ und „Anzeigen“ erlaubt haben. Ohne diese Einwilligung wird kein Google-Ads-Cookie gesetzt und kein Seitenaufruf an Google Ads gemeldet — auch nicht cookielos.

So funktioniert es, wenn Sie eingewilligt haben:

• Klick-Kennung — Klicken Sie auf eine unserer Anzeigen, hängt Google an die Adresse unserer Seite eine Kennung (gclid). Zusätzlich tragen die Adressen Kampagnenparameter (utm_…), die nur sagen, aus welcher Anzeige der Klick kam — sie enthalten nichts über Sie.
• Cookies — Das Google-Ads-Tag speichert die Klick-Kennung in den Cookies _gcl_aw und _gcl_gs und legt in _gcl_au eine zufällige Kennung Ihres Browsers ab. Alle drei sind 90 Tage gültig.
• Conversion-Ereignisse — Das Tag meldet Seitenaufrufe an Google — zusammen mit der Klick-Kennung, der aufgerufenen Adresse, dem Zeitpunkt, Ihrer IP-Adresse und technischen Angaben zu Gerät und Browser. Als Erfolg zählt der Aufruf der Auswertungsseite nach einem Upload beziehungsweise der Seite nach einer Registrierung. Google ordnet den Aufruf dem Klick zu und zeigt uns, wie viele Klicks einer Anzeige so weit geführt haben. Dazu kommt ein Ereignis „Formular abgeschickt“ mit dem Namen des Formulars, ohne dessen Inhalte.
• Was nicht übermittelt wird — Ihr Dokument, dessen Inhalt, Dateiname, Größe oder Typ, die Auswertung oder ihre Kennung, Ihr Name, Ihre E-Mail-Adresse oder Postleitzahl. Adressen von Seiten Ihrer Auswertung werden vor dem Senden gekürzt: Die Kennung wird durch einen Platzhalter ersetzt, von den Parametern der Adresse bleiben nur die Kampagnenparameter. „Erweiterte Conversions“, bei denen gehashte Kontaktdaten an Google gehen, setzen wir nicht ein.
• Remarketing — Mit derselben Einwilligung kann Google Ihren Browser in eine Zielgruppenliste aufnehmen — etwa, wenn Sie eine Zielseite besucht, die Auswertungsseite aber nicht erreicht haben — und Ihnen unsere Anzeige danach auf anderen Websites erneut zeigen. Die Listen entstehen nur aus Seitenaufrufen. Wer „Anzeigen“ nicht erlaubt, kommt in keine solche Liste.

Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Sie können sie jederzeit für die Zukunft widerrufen — unter Einwilligungen über „Einwilligungen ändern“. Bereits gesetzte Google-Cookies löschen Sie in Ihrem Browser. Personalisierte Werbung von Google insgesamt schalten Sie unter adssettings.google.com ab.

Wenn Sie den Tag Manager erlauben, „Anzeigen“ aber nicht. Dann meldet das Google-Tag Ihre Entscheidung an Google (Consent Mode), und die Werkzeuge von Google Ads bekommen keinen einzigen Seitenaufruf zu sehen: Sie werden gar nicht ausgelöst — nicht mit Cookies und nicht ohne. Es gibt dann keine Conversion-Messung, auch keine geschätzte, und keine Zielgruppenlisten. Google erhält lediglich die technischen Angaben des Skriptabrufs, die beim Tag Manager in Abschnitt 06 stehen.

Gemeinsame Verantwortlichkeit. Für Conversion-Tracking und Remarketing sind wir und Google Ireland Limited gemeinsam Verantwortliche nach Art. 26 DSGVO. Grundlage ist die Vereinbarung „Google Ads Controller-Controller Data Protection Terms“. Danach sind wir dafür verantwortlich, dass das Tag nur mit Ihrer Einwilligung läuft und Sie hier informiert werden; Google ist für die Verarbeitung in seinen Systemen verantwortlich und nutzt die Daten auch für eigene Zwecke, etwa zur Verbesserung seiner Werbedienste. Wir erhalten von Google ausschließlich zusammengefasste Statistiken — wie viele Klicks, wie viele Uploads, zu welchen Kosten —, keine Angaben zu einzelnen Personen. Ihre Rechte aus Abschnitt 09 können Sie sowohl uns als auch Google gegenüber geltend machen; Google beschreibt seinen Umgang mit diesen Daten unter business.safety.google und in seinen Hinweisen zu Werbung.

Speicherdauer. Die Google-Ads-Cookies laufen nach 90 Tagen ab. Die an Google übermittelten Conversion-Daten bewahrt Google nach eigenen Fristen auf; in unserem Anzeigenkonto sehen wir sie nur als Zahlen ohne Personenbezug.

• Hochgeladene Dokumente und Auswertungen — bis Sie sie löschen, längstens ein Jahr ab Ihrem ersten Upload — mit oder ohne Konto; spätere Uploads verlängern die Frist nicht. Danach werden sie samt der zugehörigen Dateien entfernt.
• Anonymisierte Kennzahlen — unbefristet — sie enthalten keine Angaben mehr, die sich auf Sie beziehen lassen, und werden vom Löschen Ihrer Dokumente nicht berührt.
• Vertrags- und Kenntnisnahmenachweis — Zeitpunkt und die Fassungen von AGB und Datenschutzerklärung, die Sie beim Upload bestätigt haben, bewahren wir bis zum Ende Ihrer Gast-Sitzung auf: längstens ein Jahr ab Ihrem ersten Upload. Die IP-Adresse dazu bleibt 14 Tage vollständig und danach nur gekürzt (Abschnitt 02). Das gilt auch, wenn Sie Ihre Dokumente vorher selbst löschen, denn der Nachweis belegt, dass die Verarbeitung bis dahin vertraglich gedeckt war.
• Kontodaten — bis zum Ende des Kontovertrags; nicht bestätigte Anträge löschen wir nach 72 Stunden. Vertragsbestätigung und Widerrufsquittung bewahren wir als Nachweis bis drei Jahre nach Vertragsende auf (Art. 6 Abs. 1 lit. c DSGVO, § 312f BGB).
• Server-Protokolle — in der Regel 14 Tage, danach automatisch gelöscht.
• Cookies von Google — Google Ads 90 Tage, Google Analytics zwei Jahre — jeweils ab dem letzten Besuch und nur, wenn Sie eingewilligt haben. Ihre Einwilligung selbst gilt bis zum Widerruf; ändert sich, wofür wir sie brauchen, fragen wir Sie erneut.

Sie können Ihre Dokumente jederzeit selbst löschen — einzeln oder alle auf einmal, ohne Konto und ohne Rückfrage: Einwilligungen und Daten.

Ihnen stehen gegenüber uns diese Rechte zu:

• Auskunft (Art. 15) — welche Daten wir über Sie verarbeiten, zu welchem Zweck und wer sie erhalten hat.
• Berichtigung (Art. 16) — unrichtige Angaben korrigieren zu lassen.
• Löschung (Art. 17) — Ihre Daten löschen zu lassen. Für Ihre Dokumente können Sie das selbst tun, sofort.
• Einschränkung (Art. 18) — die Verarbeitung vorübergehend anhalten zu lassen.
• Datenübertragbarkeit (Art. 20) — Ihre Daten in einem gängigen, maschinenlesbaren Format zu erhalten.
• Widerspruch (Art. 21) — der Verarbeitung auf Grundlage berechtigter Interessen zu widersprechen, aus Gründen, die sich aus Ihrer besonderen Situation ergeben. Bei uns betrifft das den Nachweis von Upload-Zeitpunkt und IP-Adresse und die Verarbeitung von Angaben Dritter in Ihrem Dokument (Abschnitt 02). Eine Nachricht genügt.
• Widerruf (Art. 7 Abs. 3) — eine erteilte Einwilligung jederzeit für die Zukunft zurückzunehmen — so einfach, wie Sie sie erteilt haben. Das betrifft die Cookies (Abschnitt 05) und, mit Konto, die Kennzahlen (Abschnitt 03).

Außerdem können Sie sich bei einer Aufsichtsbehörde beschweren (Art. 77 DSGVO) — bei der Behörde Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des mutmaßlichen Verstoßes. Für uns zuständig ist:

Eine Beschwerde dort kostet Sie nichts und setzt nicht voraus, dass Sie sich vorher an uns gewandt haben — willkommen ist uns der kurze Weg trotzdem.

Nein. Es besteht keine gesetzliche oder vertragliche Pflicht, uns Daten zu überlassen. Ohne Dokument gibt es allerdings keine Auswertung, und ohne Registrierung kein Konto. Was ein Konto zusätzlich leistet, steht in den AGB, Teil B.

Die Einwilligungen in Reichweitenmessung und Anzeigen sind davon vollständig unabhängig: Sie können sie verweigern und die Website trotzdem in vollem Umfang nutzen — der Upload und die Auswertung hängen nicht daran.

Ändert sich, was wir verarbeiten oder wer daran beteiligt ist, ändern wir diese Erklärung und zählen ihre Version hoch. Bestehende Rechtsgrundlagen und Einwilligungen entfallen dadurch nicht automatisch. Soweit eine geänderte Verarbeitung eine neue Einwilligung erfordert, holen wir sie ein, bevor sie beginnt — vor Ihrem nächsten Upload beziehungsweise im Cookie-Banner. Der aktuelle Stand steht oben auf dieser Seite.

Diese Erklärung umfasst 7 eingesetzte Dienste in 3 Kategorien.