Datenschutzerklärung

1. Verantwortlicher

Janis Gamisch, Küselstraße 18, 10409 Berlin, Deutschland. E-Mail: kontakt@co2tool.archi.

2. Welche Daten wir verarbeiten – Zweck und Rechtsgrundlage

a) Nutzerkonto, Registrierung und Login. Bei der Selbstregistrierung verarbeiten wir Ihre E-Mail-Adresse (zugleich Benutzername), Ihr Passwort (ausschließlich als kryptografischer Hash, bcrypt — niemals im Klartext) und Ihre Landesangabe (zur Voreinstellung der Normbasis). Zur Bestätigung Ihrer E-Mail-Adresse senden wir Ihnen einen einmaligen Bestätigungslink (Double-Opt-In). Die Anmeldung erfolgt über ein Sitzungs-Token (JWT) in Ihrem Browser. Zur Abwehr automatisierter Registrierungen begrenzen wir die Zahl der Registrierungsversuche je IP-Adresse. Zweck: Bereitstellung des Nutzerkontos und Authentifizierung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (bzw. lit. f für die Missbrauchsabwehr). Wenn Sie bei der Registrierung das Kästchen zu Neuigkeiten anhaken, speichern wir diese Einwilligung und informieren Sie gelegentlich per E-Mail über Neues (z. B. die Pro-Version). Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO; die Einwilligung ist jederzeit per E-Mail an kontakt@co2tool.archi widerrufbar.

b) Projekt- und Gebäudedaten. Die von Ihnen importierten und erstellten Projektinhalte (u. a. Modell-, Bauteil-, Material-, CO₂-, Recycling- und Kostendaten) samt Inhaberkennung. Zweck: Erbringung der Funktionen des Tools. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Enthalten diese Daten personenbezogene Daten Dritter (z. B. von Bauherren oder Projektbeteiligten), verarbeiten wir diese im Auftrag und nach Weisung Ihres Unternehmens (Auftragsverarbeitung nach Art. 28 DSGVO).

c) Server-Logdateien. IP-Adresse, Zeitpunkt des Zugriffs, abgerufene Ressource sowie Browser- und Geräte-Metadaten. Zweck: Bereitstellung, Stabilität und Sicherheit des Dienstes. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb).

d) KI-Funktionen. Wenn Sie eine KI-gestützte Funktion nutzen, übermitteln wir Ihre Eingaben sowie projekt- und materialbezogene Daten an den KI-Dienstleister Anthropic PBC (USA) zur Verarbeitung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Die Eingaben werden vertraglich nicht zum Training der Modelle genutzt und nicht dauerhaft gespeichert. Zur Übermittlung in die USA siehe Ziffer 5.

e) Feedback-Funktion. Wenn Sie Feedback absenden, verarbeiten wir Ihren Feedback-Text, Ihren Nutzernamen, eine optional angegebene Rückmelde-E-Mail-Adresse, den Kontext und den Zeitstempel, um Ihr Feedback zu bearbeiten. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

f) Nutzungsstatistik. Wir protokollieren kontobezogene Nutzungsereignisse (z. B. Anmeldung, Speichern eines Projekts, IFC-Import und -Export, Aufruf einer KI-Funktion oder eine Materialsuche) mit Nutzername, Zeitpunkt und Art der Aktion. Wir erstellen keine Klick- oder Bewegungsprofile und geben keine Daten an Dritte weiter. Zweck: sicherer Betrieb, Kapazitätsplanung und Verbesserung des Dienstes. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

g) Besucherzählung der Website. Wenn Sie eine Seite unserer Website aufrufen (z. B. die Startseite, die Preise oder den Blog), zählen wir diesen Aufruf anonym. Gespeichert werden nur die aufgerufene Seite, der Zeitpunkt, wie lange die Seite sichtbar geöffnet war, das Land, aus dem der Aufruf kommt, ob ein Mobilgerät verwendet wurde, die Art von Browser und Betriebssystem (z. B. „Safari“ und „iOS“, ohne Versionsnummer) und – wenn Sie von außen auf die Website kommen – die Herkunft: die Domain der vorherigen Website (z. B. „linkedin.com“) oder ein Kampagnenkürzel aus dem Link. Die Dauer meldet Ihr Browser beim Verlassen der Seite in einer zweiten kurzen Nachricht nach. Das Land ermitteln wir aus Ihrer IP-Adresse mit einer Länderdatenbank (DB-IP), die auf unserem eigenen Server liegt; an Dritte wird dabei nichts übermittelt. Für die Zählung speichern wir weder Ihre IP-Adresse noch eine Kennung, setzen keine Cookies und legen nichts in Ihrem Browser ab. Wir führen die Angaben auch nicht mit anderen Daten zusammen, etwa mit einem Nutzerkonto. Die IP-Adresse wird lediglich zur Ermittlung des Landes und zur Abwehr von Missbrauch kurzzeitig im Arbeitsspeicher verarbeitet. Zweck: Wir möchten wissen, wie oft, wie lange und auf welchen Wegen unsere Website besucht wird. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

3. Cookies und lokale Speicherung

Wir setzen keine Tracking- oder Analyse-Cookies ein. Wir verwenden ausschließlich technisch notwendige Speichermechanismen, insbesondere ein Login-/Sitzungs-Token sowie funktionale Einstellungen (z. B. gewählte Sprache und Norm) im lokalen Speicher Ihres Browsers. Diese sind nach § 25 Abs. 2 TDDDG einwilligungsfrei, da sie für die von Ihnen ausdrücklich gewünschte Anmeldung und Nutzung unbedingt erforderlich sind. Ein Einwilligungsbanner ist daher nicht erforderlich.

4. Empfänger und Auftragsverarbeiter

Wir setzen sorgfältig ausgewählte Dienstleister ein, mit denen jeweils ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO besteht:

• Hetzner Online GmbH, Gunzenhausen (Deutschland) – Hosting von Server, Anwendung, Website und Datenbank. Verarbeitung ausschließlich in Deutschland, kein Drittlandtransfer.
• Anthropic PBC, San Francisco (USA) – Verarbeitung der KI-Anfragen. Zur Übermittlung in die USA siehe Ziffer 5.
• Heinlein Hosting GmbH (mailbox.org), Berlin (Deutschland) – Versand von System-E-Mails (z. B. Registrierungs-Bestätigung). Verarbeitung in Deutschland.

5. Datenübermittlung in Drittländer (USA)

Bei der Verarbeitung der KI-Anfragen durch Anthropic PBC erfolgt eine Verarbeitung in den USA. Wir stützen diese Übermittlung auf die EU-Standardvertragsklauseln (SCC, Art. 46 DSGVO) samt ergänzender Schutzmaßnahmen. Eine Kopie der Garantien stellen wir Ihnen auf Anfrage unter kontakt@co2tool.archi bereit. Trotz dieser Instrumente kann für Übermittlungen in die USA ein Restrisiko bestehen, etwa durch behördliche Zugriffsmöglichkeiten.

6. Speicherdauer

Konto- und Projektdaten speichern wir für die Dauer des Nutzungsverhältnisses; nach Löschung Ihres Kontos werden sie innerhalb von 30 Tagen gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Server-Logdateien löschen wir innerhalb von 30 Tagen. Feedback-Daten löschen wir, sobald sie zur Bearbeitung nicht mehr erforderlich sind. Nutzungsereignisse (Ziffer 2 f) löschen wir spätestens nach zwölf Monaten, die anonymen Zählwerte der Besucherzählung (Ziffer 2 g) nach 24 Monaten.

7. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO). Beruht eine Verarbeitung auf einer Einwilligung, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO).

8. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für uns zuständig ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59–61, 10555 Berlin.

9. Pflicht zur Bereitstellung

Die Bereitstellung der Konto- und Anmeldedaten ist für die Nutzung des Dienstes erforderlich; ohne diese Daten können wir Ihnen kein Nutzerkonto bereitstellen.