Datenschutzerklärung
Stand: 26.09.2026
1. Geltungsbereich
Diese Datenschutzerklärung informiert über Art, Umfang und Zwecke der Verarbeitung personenbezogener Daten beim Besuch dieser Website und bei der Nutzung der angebotenen Module (insbesondere Kalkulation und Plausibilitätsprüfung anhand hochgeladener PDF-Dateien), einschließlich registrierter Zugänge, Anmeldung, kostenpflichtiger Leistungen und Ergebnis-Historie.
2. Verantwortlicher
Dipl.-Ing. Dr.techn. Gernot Strasser
Schüttaustraße 62/32
1220 Wien, Österreich
E-Mail:
gernot.strasser@bau-ki.at
3. Kategorien verarbeiteter Daten
Je nach Nutzung werden insbesondere folgende Datenkategorien verarbeitet:
3.1 Zugriffs- und Betriebsdaten
IP-Adresse, Datum/Uhrzeit, aufgerufene URL, Referrer, Browser/OS-Informationen, technische Server- und Fehlerprotokolle.
3.2 Authentifizierungs- und Kontodaten
Registrierte Zugänge werden vom Verantwortlichen auf Anfrage eingerichtet. Verarbeitet werden E-Mail-Adresse, ein Passwort (ausschließlich als kryptografischer Hash gespeichert), Rolle, Zeitpunkt der Anlage und des letzten Logins sowie das dem Konto zugeordnete Kontingent an Kalkulationen und Prüfungen einschließlich der Verbrauchsbuchungen. Die Anmeldung wird über ein technisch notwendiges Sitzungs-Cookie aufrechterhalten (siehe Punkt 3.6). Eine Nutzung der Module ohne Konto ist möglich; in diesem Fall werden keine Kontodaten verarbeitet.
3.3 Inhaltsdaten aus Uploads und Eingaben
Zur Sicherung der Funktion und Steigerung der Qualität werden folgende Daten verarbeitet:
Kalkulation: eingegebene Projekt- und Unternehmensangaben, Auswahl des Kollektivvertrags, Kalkulationsparameter und berechnete Werte sowie der Exportstatus.
Plausibilitätsprüfung: zu Grunde liegende Dateien, die daraus mit KI-Unterstützung eingelesenen Werte (Rohwerte), die vom Nutzer bestätigten und gegebenenfalls korrigierten Werte, der gewählte Referenz-Kollektivvertrag, Prüfergebnisse, Vergleichsdaten und zugehörige Metadaten (Dateiname, Zeitpunkt, technische Kennungen).
3.4 Qualitäts- und Verbesserungsdaten
Zur Qualitätssicherung, zur Bewertung der Zuverlässigkeit der Plausibilitätsprüfung und zur Verbesserung der Einlesegenauigkeit werden Importläufe, Korrekturen, Regelableitungen, technische Parameter, Laufzeiten, Status- und Fehlercodes sowie aggregierte Kennzahlen verarbeitet. Zu diesem Zweck werden hochgeladene Dateien mit eingelesenen und den bestätigten Werten aufgezeichnet. Dies gilt auch für Uploads ohne Konto und auch dann, sobald das Einlesen gestartet wird.
3.5 Nutzungs- und Historiendaten
Kontostatus, Kontingentstände, Zustimmungsstände zu Datenschutzerklärung und Nutzungsbedingungen, Historienläufe registrierter Nutzer und zugehörige Snapshot-Daten.
3.6 Cookies und browserseitige Speicherdaten
Es wird ausschließlich ein technisch notwendiges Sitzungs-Cookie („k3_session“, HttpOnly, Laufzeit 30 Tage) gesetzt, um angemeldete Nutzer wiederzuerkennen. Cookies zu Analyse-, Marketing- oder Trackingzwecken werden nicht eingesetzt. Darüber hinaus werden im Browser (localStorage/sessionStorage) technisch notwendige Daten gespeichert, insbesondere Formular- und Entwurfsstände der Kalkulation und der Prüfung, eine Sitzungskennung der Kalkulation sowie zeitlich befristete Freischaltungen nach einer Zahlung (24 Stunden). Diese Daten verbleiben auf dem Endgerät und werden nicht zu Trackingzwecken verwendet.
3.7 Kommunikationsdaten
Daten aus Anfragen an Support/Kontakt (Name, E-Mail, Nachricht), sofern Kontakt aufgenommen wird.
3.8 Zahlungsdaten
Bei kostenpflichtiger Nutzung (PDF-Export der Kalkulation, Start einer Plausibilitätsprüfung) erfolgt die Zahlung über den Zahlungsdienstleister Stripe. Stripe erhebt dabei E-Mail-Adresse, Rechnungsanschrift, gegebenenfalls UID-Nummer sowie die Zahlungsmittel-Daten und erstellt die Rechnung. Die Anwendung selbst speichert keine Karten- oder Kontodaten, sondern nur die Zahlungs- und Rechnungskennung, den Betrag, die E-Mail-Adresse, Projekt- und Unternehmensbezeichnung sowie den Zahlungsstatus.
4. Zwecke der Verarbeitung
Die Verarbeitung erfolgt insbesondere zu folgenden Zwecken:
- Bereitstellung der Website, Einrichtung registrierter Zugänge und Authentifizierung
- Durchführung der Kalkulation und Plausibilitätsprüfung
- Abwicklung kostenpflichtiger Leistungen einschließlich Rechnungsstellung und Kontingentverwaltung
- Bereitstellung von Ergebnis-Historie, Vergleichsfunktionen und dem Abgleich mit hochgeladenen Dateien
- Speicherung von Kalkulationen zur Nachvollziehbarkeit, Fehleranalyse und Qualitätssicherung
- Verbesserung der Einlesegenauigkeit der KI-gestützten Erfassung von K3-Blättern
- Fehleranalyse, IT-Sicherheit, Missbrauchsprävention und Systemstabilität
- Qualitätssicherung sowie Bewertung der Zuverlässigkeit der Plausibilitätsprüfung über längere Zeiträume
- Erfüllung gesetzlicher Pflichten und Rechtsverteidigung
5. Rechtsgrundlagen
Je nach Verarbeitungstätigkeit erfolgt die Verarbeitung auf Grundlage von:
- Art. 6 Abs. 1 lit. b DSGVO (Vertrag / vorvertragliche Maßnahmen), insbesondere für Kalkulation, Prüfung, Zahlung und Kontingente
- Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung), insbesondere steuer- und unternehmensrechtliche Aufbewahrung
- Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse; insbesondere IT-Sicherheit, Qualitätssicherung, Verbesserung der Einlesegenauigkeit, Nachvollziehbarkeit und Missbrauchsprävention)
- Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), soweit eine solche erforderlich ist
6. Hinweis zu personenbezogenen Daten in Uploads
Die Module sind auf K3-Blatt Daten ausgerichtet. PDFs sollen möglichst keine unnötigen personenbezogenen oder besonders sensiblen Daten enthalten. Soweit solche Daten dennoch übermittelt werden, erfolgt die Verarbeitung nur im für die jeweilige Funktion (einschließlich Support, Fehleranalyse und Qualitätssicherung) erforderlichen Umfang.
7. Empfänger / Dienstleister
Zur Bereitstellung der Funktionen werden insbesondere folgende Dienstleister eingesetzt:
7.1 Hosting, Anwendung und Datenbank (Heroku / Salesforce, Inc.)
Betrieb der Anwendung und der Datenbank in einem Rechenzentrum in den USA. Dort werden Konten, Kalkulations- und Prüfwerte, Zahlungsmetadaten und Historien gespeichert.
7.2 Dateispeicher (Amazon Web Services, AWS S3)
Speicherung der Dateien in der Region Frankfurt (eu-central-1).
7.3 KI-Verarbeitung beim Einlesen von K3-Blättern (OpenAI; Google Cloud Vertex AI / Gemini)
OpenAI (OpenAI, L.L.C., USA) als primärer Dienst und Google Cloud Vertex AI (Gemini, Region Belgien) als Ausweichdienst. Die Anbieter verwenden über die Programmierschnittstelle übermittelte Inhalte vertragsgemäß nicht zum Training ihrer Modelle.
7.4 Zahlungsabwicklung (Stripe)
Stripe Payments Europe Ltd. (Irland) und verbundene Unternehmen (USA). Verarbeitung der Zahlungs- und Rechnungsdaten nach den Bedingungen von Stripe.
7.5 Authentifizierung
Die Authentifizierung erfolgt durch die Anwendung selbst; ein externer Authentifizierungsdienst wird nicht eingesetzt.
8. Datenübermittlung in Drittländer
Die Anwendung wird bei Heroku in den USA betrieben; dort werden auch die Datenbankinhalte gespeichert. Die KI-Verarbeitung durch OpenAI erfolgt in den USA. Die Übermittlung stützt sich auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework, soweit der jeweilige Anbieter zertifiziert ist, im Übrigen auf die Standardvertragsklauseln der EU-Kommission und ergänzende Schutzmaßnahmen. Hochgeladene Dateien werden in Frankfurt gespeichert; die Ausweich-KI-Verarbeitung durch Google erfolgt in Belgien.
9. Speicherdauer und Löschung
9.1 Grundsatz
Personenbezogene Daten werden nur solange gespeichert, wie es für die genannten Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen.
9.2 Technische Bereinigung von Import-Jobs
Für asynchrone KI-Import-Jobs ist eine automatische Bereinigung implementiert (standardmäßig 24 Stunden für abgeschlossene Jobs).
9.3 Ergebnis-Historie registrierter Nutzer
Zur Bereitstellung der Ergebnis-Historie werden Prüfergebnisse und zugehörige PDF-Dateien gespeichert. Einträge der Historie können jederzeit selbstständig gelöscht werden. Bei Löschung des Kontos wird die Historie gelöscht.
9.4 Werteablage zur Qualitätssicherung
Unabhängig von der Historie werden Kalkulationswerte (ab Eingabe eines Gesamtzuschlags), Prüfwerte (eingelesene und bestätigte Werte) sowie die zu Grunde liegenden Dateien für die in Punkt 3.4 genannten Zwecke gespeichert, auch bei Nutzung ohne Konto. Diese Daten werden zwei Jahre ab Ende des Kalenderjahres der Verarbeitung gespeichert und anschließend gelöscht oder anonymisiert, sofern keine gesetzlichen Aufbewahrungspflichten oder anhängigen Verfahren eine längere Speicherung erfordern. Eine frühere Löschung kann jederzeit unter den in Punkt 2 genannten Kontaktdaten verlangt werden.
9.5 Metadaten zur Zuverlässigkeitsbewertung
Die in Punkt 3.4 genannten Metadaten werden für zwei Jahre ab Ende des Kalenderjahres der jeweiligen Verarbeitung gespeichert und anschließend gelöscht oder anonymisiert, sofern keine längeren gesetzlichen Aufbewahrungspflichten oder anhängigen Verfahren eine weitere Speicherung erforderlich machen.
9.6 Zahlungs- und Rechnungsdaten
Rechnungen und Zahlungsbelege werden entsprechend den steuer- und unternehmensrechtlichen Aufbewahrungsfristen (in Österreich sieben Jahre) aufbewahrt.
9.7 Browserdaten
localStorage/sessionStorage und das Sitzungs-Cookie verbleiben auf dem Endgerät, bis sie ablaufen oder durch Nutzerhandlungen bzw. Browsermechanismen gelöscht werden.
10. Datensicherheit
Angemessene technische und organisatorische Maßnahmen werden eingesetzt (z. B. Zugriffsbeschränkungen, Transportverschlüsselung, Passwort-Hashing, Rollen-/Berechtigungskonzepte, Protokollierung), um Daten gegen unbefugten Zugriff, Verlust und Manipulation zu schützen.
11. Automatisierte Entscheidungen
Eine automatisierte Entscheidungsfindung mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO findet nicht statt. Das KI-gestützte Einlesen dient der Erfassung von Werten, die vom Nutzer geprüft und bestätigt werden. Plausibilitätsprüfungen dienen als fachliche Unterstützung und ersetzen keine eigenständige Prüfung oder Einschätzung durch Experten.
12. Betroffenenrechte
Nach Maßgabe der DSGVO bestehen insbesondere folgende Rechte:
- Auskunft (Art. 15 DSGVO)
- Berichtigung (Art. 16 DSGVO)
- Löschung (Art. 17 DSGVO)
- Einschränkung der Verarbeitung (Art. 18 DSGVO)
- Datenübertragbarkeit (Art. 20 DSGVO)
- Widerspruch (Art. 21 DSGVO), soweit die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO beruht
Zur Ausübung der Rechte kann Kontakt über die unter Punkt 2 genannten Kontaktdaten aufgenommen werden.
13. Beschwerderecht (Österreich)
Es besteht das Recht auf Beschwerde bei der zuständigen Aufsichtsbehörde:
Österreichische Datenschutzbehörde (DSB)
Barichgasse 40-42, 1030 Wien
Website: dsb.gv.at
14. Pflicht zur Bereitstellung von Daten
Die Bereitstellung bestimmter Daten ist für Authentifizierung, Nutzung der Module und technischen Betrieb erforderlich. Für kostenpflichtige Leistungen ist die Angabe einer E-Mail-Adresse zur Zustellung der Rechnung erforderlich. Ohne diese Daten können einzelne Funktionen nicht bereitgestellt werden.
15. Änderungen dieser Datenschutzerklärung
Diese Datenschutzerklärung kann angepasst werden, wenn sich rechtliche, technische oder organisatorische Rahmenbedingungen ändern. Es gilt die jeweils veröffentlichte aktuelle Fassung.