Datenschutzerklärung

Diese Erklärung gilt für die Webseite bauakte.at: die Vorstellung des Produkts, das Kontaktformular, die Demo-Buchung, die Bestellung und das Musterprotokoll auf der Startseite. Sie beschreibt, welche Daten dabei entstehen, wer sie bekommt und wie lange sie bleiben.

Für die bauakte.at-App und die Webanwendung (app.bauakte.at) gilt die gesonderte Datenschutzerklärung für die App. Wie ein Benutzerkonto gelöscht wird, steht unter Konto löschen.

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist die bauwerk digital GmbH, Lannerweg 113, 9201 Krumpendorf am Wörthersee, Österreich. Fragen zum Datenschutz beantworten wir unter info@bauakte.at. Ein Datenschutzbeauftragter ist nicht zu bestellen und wurde nicht bestellt.

Auf dieser Webseite wird bauakte.at vorgestellt. Wer Kontakt aufnimmt, einen Demo-Termin bucht oder eine Bestellung abschickt, übermittelt uns dabei Angaben, die wir ausschließlich für die Bearbeitung und Beantwortung dieser Anfrage und für die Anbahnung eines Vertrags verwenden.

Daneben messen wir mit Einwilligung, wie die Seite benutzt wird und ob eine Anzeige zu einer Anfrage geführt hat. Beides läuft ausschließlich über die Kategorien, die der Cookie-Banner zur Wahl stellt.

Vier Dinge laufen unabhängig von jeder Entscheidung, weil die Seite sonst nicht funktioniert oder nicht betrieben werden kann. Sie stützen sich auf das berechtigte Interesse an einem sicheren, funktionierenden Auftritt (Art. 6 Abs. 1 lit. f DSGVO) beziehungsweise auf die Bearbeitung der Anfrage selbst (Art. 6 Abs. 1 lit. b DSGVO) sowie auf § 165 Abs. 3 TKG 2021, der für unbedingt erforderliche Speicherungen keine Einwilligung verlangt.

• Die Cookie-Entscheidung selbst. Sie muss festgehalten werden, sonst käme die Frage bei jedem Aufruf neu.
• Cloudflare Turnstile. Kontaktformular, Demo-Buchung, Bestellung und Musterprotokoll sind gegen automatisierte Einsendungen geschützt. Turnstile prüft dafür im Hintergrund Signale des Browsers. Anders als ein klassisches Captcha entsteht dabei kein Nutzungsprofil.
• Ein gebuchter Demo-Termin. Wer gebucht hat und wiederkommt, soll nicht ein zweites Mal buchen. Dafür merkt sich ein Cookie die Buchungskennung und den Zeitpunkt des Termins.
• Fehlerberichte des Servers. Schlägt auf dem Server etwas fehl, etwa das Speichern einer Anfrage, wird der technische Fehler an PostHog (EU-Region) gemeldet: Fehlermeldung, betroffene Stelle im Code, Pfad und Methode der Anfrage. Weder IP-Adresse noch Formularinhalte sind Teil der Meldung.

Alles Weitere läuft nur mit Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 165 Abs. 3 TKG 2021). Der Banner stellt genau drei Schalter zur Wahl:

• Notwendig. Was oben beschrieben ist. Nicht abwählbar, weil ohne diese Speicherungen weder die Entscheidung noch ein Formular funktioniert.
• Analyse. Reichweitenmessung mit PostHog, einschließlich Sitzungsaufzeichnungen mit unkenntlich gemachten Eingabefeldern. Mit demselben Schalter wird auch die Zuordnung eines Besuchs zu den Angaben aus einem Formular erlaubt - derselbe Dienst, derselbe Empfänger.
• Werbung. Messung des Anzeigenerfolgs für Google Ads und Meta, über Klick-Kennungen und eine serverseitige Meldung an Meta. Verarbeitung auch in den Vereinigten Staaten.

Ohne Einwilligung wird kein Skript der genannten Anbieter geladen und keine Verbindung zu ihnen aufgebaut - es wird nicht bloß das Auswerten gesperrt, es wird gar nicht erst geladen. Die Entscheidung kann jederzeit geändert werden: Cookie-Einstellungen öffnet dieselbe Auswahl wie beim ersten Besuch. Ein Widerruf wirkt ab dem Zeitpunkt des Widerrufs; die vorherige Verarbeitung bleibt rechtmäßig.

Aufgeteilt nach den drei Kategorien des Banners. Was unter „Analyse" oder „Werbung" steht, entsteht erst nach der jeweiligen Einwilligung.

Mit der Einwilligung „Analyse" wird gemessen, welche Abschnitte gelesen und welche Schaltflächen benutzt werden. Genutzt wird die EU-Region des Anbieters; die Daten bleiben in der Europäischen Union. Die Anfragen laufen über einen eigenen Pfad auf bauakte.at, damit die Messung auch bei aktivem Inhaltsblocker funktioniert - gemessen wird dadurch nichts anderes.

Dazu gehören Sitzungsaufzeichnungen. In ihnen sind alle Eingabefelder unkenntlich gemacht; was getippt wird, erscheint in keiner Aufzeichnung. Ein Personenprofil entsteht erst durch das Absenden eines Formulars: Bis dahin bleibt der Besuch ein anonymer Zähler ohne Profil. Ohne die Einwilligung „Werbung" wird jede Klick-Kennung zusätzlich aus jedem Ereignis entfernt.

Mit derselben Einwilligung werden technische Fehler gemeldet, die im Browser auftreten: Fehlermeldung, betroffene Stelle im Code und die Sitzung, in der der Fehler auftrat. Auch ein Fehlerbericht des Servers wird dann dieser Sitzung zugeordnet. Eingaben aus Formularen sind nicht Teil dieser Berichte.

Mit der Einwilligung „Werbung" wird gemessen, ob eine Anzeige zu einer Anfrage geführt hat. Dafür wird das Meta-Pixel von connect.facebook.net geladen. Google Ads ist vorbereitet, aber derzeit nicht aktiv: Solange keine Conversion-ID hinterlegt ist, wird weder gtag.js von googletagmanager.com geladen noch ein Signal an Google gesetzt. Sobald das geschieht, gilt das Folgende für beide Anbieter.

• Beim Seitenaufruf übermittelt das Pixel nur, was der Anbieter ohnehin mitbringt: die Kennung des Anzeigenklicks und die Kennung des Browsers. Ein Ereignis wird erst gemeldet, wenn ein Formular angenommen wurde; es trägt seinen Namen und seinen Wert in Euro.
• Mit dieser Meldung gehen an Meta zusätzlich die im Formular gemachten Angaben zur Person - E-Mail-Adresse, Telefonnummer, Vor- und Nachname, soweit angegeben - ausschließlich als kryptografischer Hashwert (SHA-256), aus dem sich der Klartext nicht zurückrechnen lässt. Meta nutzt sie, um das Ereignis einem Anzeigenkontakt zuzuordnen.
• Ein Teil der Meldungen an Meta läuft nicht über den Browser, sondern von unserem Server aus. Umfang und Zweck ändern sich dadurch nicht; die Meldung wird nur unabhängig von Inhaltsblockern. Vor dem Senden wird die Einwilligung auf dem Server erneut geprüft. IP-Adresse und Browserkennung werden dabei nicht mitgeschickt. Browser- und Server-Meldung tragen dieselbe Ereignis-Kennung, damit Meta sie zusammenführt statt doppelt zu zählen.
• Aus welcher Anzeige eine Anfrage entstanden ist, wird bei der Anfrage gespeichert, damit ein späterer Abschluss derselben Anzeige zugerechnet werden kann. Übermittelt wird dabei nichts anderes als oben beschrieben.
• An Google wird zusätzlich übergeben, ob eine Einwilligung vorliegt, um zu beschränken, was verarbeitet werden darf.

Beide Unternehmen verarbeiten Daten auch in den Vereinigten Staaten, wo kein mit der Europäischen Union gleichwertiges Datenschutzniveau besteht; insbesondere können dortige Behörden auf Daten zugreifen. Die Übermittlung erfolgt auf Grundlage der ausdrücklichen Einwilligung (Art. 49 Abs. 1 lit. a DSGVO) sowie ergänzend der Standardvertragsklauseln der Europäischen Kommission.

Mit den Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO. Darüber hinaus werden keine Daten an Dritte weitergegeben.

• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) in Verbindung mit § 165 Abs. 3 TKG 2021: für alles, was der Cookie-Banner unter „Analyse" und „Werbung" zur Wahl stellt.
• Art. 6 Abs. 1 lit. b DSGVO (Vertrag und vorvertragliche Maßnahme): für die Bearbeitung von Anfragen, Demo-Buchungen und Bestellungen.
• Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse): für den stabilen Betrieb, die Abwehr missbräuchlicher Nutzung und die Beantwortung rein informatorischer Anfragen.
• Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung): für den Nachweis erteilter und widerrufener Einwilligungen.
• Art. 49 Abs. 1 lit. a DSGVO: für die Übermittlung in die Vereinigten Staaten, ergänzt um die Standardvertragsklauseln der Europäischen Kommission.

• Cookie-Entscheidung: 365 Tage, danach wird erneut gefragt. Der Nachweis, wann welche Entscheidung getroffen wurde, wird aufbewahrt und ein Widerruf vermerkt statt gelöscht - nur so ist belegbar, dass und wann widerrufen wurde. Gespeichert werden dabei die Kategorien, der Zeitpunkt, die Herkunft der Entscheidung und die Browserkennung, keine IP-Adresse.
• Anfragen aus Kontaktformular, Demo-Buchung und Bestellung: solange die Bearbeitung und eine mögliche Anschlusskommunikation es erfordern, längstens 24 Monate. Danach werden sie gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Herkunftsdaten einer Anfrage: bis der Vorgang abgeschlossen und gemeldet ist, längstens ein Jahr. Danach werden sie von der Anfrage entfernt; die Anfrage selbst bleibt bestehen, weil sie auf einer eigenen Rechtsgrundlage steht.
• Herkunfts-Cookie im Browser: 90 Tage, bei einem Widerruf sofort.
• Demo-Termin: Das Cookie endet mit dem Termin.
• Server-Protokolle: beim Hoster, kurzfristig und automatisch gelöscht.

Beim Aufruf dieser Webseite erhebt der Hosting-Anbieter kurzfristig technische Protokolle: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse und Browserkennung. Sie dienen ausschließlich dem Betrieb und der Abwehr von Angriffen, werden nicht mit anderen Datenquellen zusammengeführt und nach kurzer Zeit automatisch gelöscht.

Die Anwendung selbst speichert keine IP-Adresse: weder bei der Prüfung der Formulare noch beim Festhalten der Cookie-Entscheidung. Abrufe bekannter Suchmaschinen- und KI-Crawler werden als reiner Zählerstand je Tag, Bot und Seite festgehalten - ohne IP-Adresse, ohne Browserkennung im Volltext und ohne verweisende Seite.

Nach der DSGVO bestehen folgende Rechte:

• Auskunft (Art. 15 DSGVO) darüber, ob und welche personenbezogenen Daten verarbeitet werden.
• Berichtigung (Art. 16 DSGVO), falls Daten unrichtig oder unvollständig sind.
• Löschung (Art. 17 DSGVO), sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Einschränkung der Verarbeitung (Art. 18 DSGVO), etwa solange die Richtigkeit der Daten geprüft wird.
• Datenübertragbarkeit (Art. 20 DSGVO): Erhalt der bereitgestellten Daten in einem gängigen, maschinenlesbaren Format.
• Widerspruch (Art. 21 DSGVO) gegen Verarbeitungen, die auf einem berechtigten Interesse beruhen.
• Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO)jederzeit mit Wirkung für die Zukunft, für Cookies über Cookie-Einstellungen.
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO).

Für die Ausübung dieser Rechte genügt eine formlose E-Mail an info@bauakte.at. Die Bearbeitung erfolgt innerhalb der gesetzlich vorgesehenen Frist.

Zuständige Aufsichtsbehörde ist die Österreichische Datenschutzbehörde, Barichgasse 40-42, 1030 Wien, E-Mail dsb@dsb.gv.at, Web www.dsb.gv.at.

Ändern sich die eingesetzten Dienste, ihre Zwecke oder die Kategorien des Banners, wird diese Erklärung angepasst und die Einwilligung erneut eingeholt: Eine einmal erteilte Zustimmung gilt nur für das, was zum Zeitpunkt der Erteilung hier stand.

Bei Fragen zum Datenschutz oder zur Ausübung der genannten Rechte genügt eine E-Mail an info@bauakte.at oder ein Brief an bauwerk digital GmbH, Lannerweg 113, 9201 Krumpendorf am Wörthersee, Österreich.