Datenschutz­erklärung

1. Pflichtinformationen gemäß Art. 13 DSGVO — Verantwortlicher

Verantwortlicher im Sinne der DSGVO (Art. 4 Nr. 7) ist:

Mithgard.AI
Inh. Nico Kaitinnis
Römerstraße 24
79541 Lörrach-Brombach
Deutschland
E-Mail: datenschutz@mithgard.ai

Die Plattform bau.mithgard.ai wird betrieben durch Mithgard.AI (Inh. Nico Kaitinnis). Für Konto-, Vertrags-, Abrechnungs-, Sicherheits- und Supportdaten ist der Plattformbetreiber Verantwortlicher gemäß Art. 4 Nr. 7 DSGVO. Bei Mitarbeiter-, Kunden- und Baustellendaten, deren Verarbeitungszwecke der jeweilige Betrieb festlegt, kann der Betrieb Verantwortlicher und der Plattformbetreiber Auftragsverarbeiter sein. Die konkrete Rolle richtet sich nach dem jeweiligen Verarbeitungsvorgang und einem erforderlichen Vertrag nach Art. 28 DSGVO.

2. Welche Daten werden erhoben?

2.1 Registrierungsdaten

• Name, E-Mail-Adresse, Passwort (mit Argon2id gehasht)
• Rolle im Unternehmen (Inhaber, Bauleiter, Facharbeiter)
• Telefonnummer (optional)
• Bei Anmeldung über einen angebotenen Identitätsanbieter: Anbieter, eindeutige Anbieter-Konto-ID, verifizierte E-Mail-Adresse sowie — soweit vom Anbieter übermittelt — Name und Profilbild

Registrierungsdaten werden für den Richtfest-Zugang verarbeitet. Eine Nutzung für andere Mithgard-Produkte erfolgt nur, wenn dafür eine gesonderte Anmeldung, Freischaltung oder vertragliche Grundlage besteht.

2.2 Nutzungsdaten

• Zeiterfassungsdaten (Check-in/Check-out Zeiten, Baustellenzuordnung)
• Tagesberichte (Wetter, Personal, durchgeführte Arbeiten)
• Mängelberichte (Beschreibung, Fotos, Priorität)
• Rechnungen und Angebote
• Hochgeladene Fotos und Dokumente
• Bei Nutzung des Richtfest-Assistenten: Chatnachrichten, Arbeitskontext, Vorschläge, bestätigte persönliche Erinnerungen sowie technische Workflow- und Werkzeugaufrufdaten
• Bei Nutzung von Sprachfunktionen: Sprachaufnahmen oder Speicherverweise, Transkripte und Gesprächssegmente, soweit die jeweilige Funktion diese Daten verarbeitet

2.3 Abrechnungsdaten

• Zahlungsmethode (Kreditkarte, SEPA) — verarbeitet durch Stripe
• Rechnungsanschrift, USt-IdNr.
• Abonnementstatus und Zahlungshistorie

2.4 Technische Daten

• IP-Adresse (für Sicherheit und Rate-Limiting)
• Gerätetyp und Browser
• Zugriffszeitpunkte

3. Zweck der Datenverarbeitung

• Bereitstellung der App-Funktionalität
• Zeiterfassung und Baustellenmanagement
• Berichterstellung und Dokumentation
• Authentifizierung und Zugriffskontrolle
• Rechnungsstellung, Buchhaltung und Zahlungsabwicklung
• Sicherheitsmaßnahmen (Rate-Limiting, Brute-Force-Schutz)
• Prüfung von Mandanten-, Rollen- und Produktberechtigungen innerhalb von Richtfest
• Nachweis der bei Registrierung erklärten B2B- und Vertragsbestätigung
• Bereitstellung nutzergesteuerter KI-Assistenz, Entwürfe und Arbeitsabläufe

Es findet keine ausschließlich automatisierte Entscheidung mit rechtlicher oder vergleichbar erheblicher Wirkung im Sinne von Art. 22 DSGVO statt. KI-gestützte Funktionen liefern Vorschläge oder Entwürfe; fachliche und betriebliche Entscheidungen verbleiben beim Nutzer.

4. Rechtsgrundlage

Die Verarbeitung erfolgt auf Basis von:

• Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung und vorvertragliche Maßnahmen für Konto und SaaS-Vertrag
• Art. 6 Abs. 1 lit. c DSGVO — Rechtliche Verpflichtungen, insbesondere handels- und steuerrechtliche Nachweise
• Art. 6 Abs. 1 lit. f DSGVO — Berechtigtes Interesse an Sicherheit, Missbrauchsprävention, Support und stabilem Betrieb

E-Mail-Adresse, Zugangsdaten, B2B-Bestätigung und die für den gewählten Tarif erforderlichen Vertrags- und Abrechnungsdaten sind für Registrierung oder Vertragsschluss erforderlich. Ohne diese Angaben kann kein Konto angelegt, kein kostenpflichtiger Tarif abgerechnet oder der jeweilige Dienst bereitgestellt werden. Als optional gekennzeichnete Angaben sind freiwillig. Der Kunde bleibt für die Rechtsgrundlagen seiner eigenen Verarbeitung von Mitarbeiter-, Kunden- und Baustellendaten verantwortlich.

5. Datenspeicherung & Sicherheit

• API und zentrale PostgreSQL-Datenbank sind in der Railway-Region EU West in Amsterdam, Niederlande, bereitgestellt. Railway ist ein US-Anbieter; die Railway-Datenschutzbedingungen sehen daneben Verarbeitungsvorgänge und zulässige Übermittlungen in die USA vor.
• Hochgeladene Fotos und Dokumente werden im Cloudflare-R2-Bucket bau-app-production-eu gespeichert. Der Bucket wurde mit der Cloudflare-Jurisdiktion „eu“ und damit einer EU-Jurisdiktionsbindung angelegt. Cloudflare garantiert für so gebundene Buckets, dass deren Objekte innerhalb der Europäischen Union gespeichert werden.
• Passwörter werden mit Argon2id gehasht (Stand der Technik)
• Die gesamte Übertragung erfolgt verschlüsselt (HTTPS/TLS)
• JWT-Zugriffstokens für Authentifizierung (15 Minuten Gültigkeit)
• OWASP Security Headers (HSTS, CSP, X-Frame-Options)
• Rate-Limiting und Brute-Force-Schutz
• Mandanten-Isolation: Daten verschiedener Betriebe sind vollständig getrennt

6. Dienstleister und Identitätsanbieter

Wir setzen folgende Dienstleister ein. Soweit sie personenbezogene Daten in unserem Auftrag verarbeiten, gelten die jeweils vereinbarten Auftragsverarbeitungsbedingungen. Zahlungs- und Identitätsanbieter können für eigene Verarbeitungszwecke daneben selbst Verantwortliche sein. Die verlinkten Bedingungen beschreiben Rollen, Unterauftragnehmer und Mechanismen für Drittlandtransfers; die rechtliche Einordnung richtet sich nach der konkreten Verarbeitung:

7. Datenweitergabe

Personenbezogene Daten werden nicht verkauft und nicht für fremde Werbung verwendet.

Eine Weitergabe erfolgt nur an die unter Ziffer 6 beschriebenen Dienstleister und den von Ihnen ausgewählten Identitätsanbieter, soweit dies für den jeweiligen Zweck erforderlich ist, sowie bei gesetzlicher Verpflichtung (z. B. Auskunftspflicht gegenüber Strafverfolgungsbehörden).

8. Ihre Rechte (Art. 15–21 DSGVO)

Sie haben das Recht auf:

• Auskunft über Ihre gespeicherten Daten (Art. 15)
• Berichtigung unrichtiger Daten (Art. 16)
• Löschung Ihrer Daten — „Recht auf Vergessenwerden“ (Art. 17)
• Einschränkung der Verarbeitung (Art. 18)
• Datenübertragbarkeit — Export Ihrer Daten als JSON (Art. 20)
• Widerspruch gegen die Verarbeitung (Art. 21)

Diese Rechte können Sie direkt in der App unter Einstellungen → Datenschutz ausüben oder per E-Mail an datenschutz@mithgard.ai.

9. Datenexport & Löschung

Sie können jederzeit einen maschinenlesbaren Export der von Ihnen bereitgestellten und unmittelbar mit Ihrem Konto verknüpften App-Daten anfordern (JSON-Format, Art. 20 DSGVO). Der Export enthält insbesondere Profil-, Mitgliedschafts-, Login-, Sicherheits-, Vertragsannahme-, Baustellenaktivitäts-, Assistenten-, Sprach-, Erinnerungs- und geplante Agentenaufgabendaten. Eine weitergehende Auskunft nach Art. 15 DSGVO kann über den Datenschutzkontakt angefordert werden.

Bei Löschung des Accounts wird der Zugang sofort entzogen. Nicht aufbewahrungspflichtige personenbezogene Inhalte, darunter persönliche Assistenten-Chats, Workflows, Erinnerungen, Sprachinhalte und geplante Agentenaufgaben, werden im aktiven System gelöscht oder anonymisiert. Arbeitszeit-, Vertrags-, Abrechnungs- und andere erforderliche Nachweise können für gesetzliche Aufbewahrungs- oder Verjährungsfristen gesperrt, minimiert oder anonymisiert erhalten bleiben und werden nach Wegfall des Zwecks gelöscht. Sonstige nicht aufbewahrungspflichtige Restdaten werden innerhalb von 30 Tagen aus aktiven Systemen entfernt.

10. Cookies

Diese App verwendet keine Tracking-Cookies und keine Third-Party-Analytics. Es werden ausschließlich technisch notwendige Cookies für Authentifizierung, Sicherheit und den kurzzeitigen Nachweis eines gestarteten OAuth- Registrierungsprozesses verwendet (insbesondere httpOnly und Secure in Produktion; SameSite=Lax beziehungsweise für technisch erforderliche Apple-OAuth-POST-Callbacks SameSite=None mit Secure).

11. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Lautenschlager­straße 20
70173 Stuttgart
baden-wuerttemberg.datenschutz.de

12. Änderungen

Wir behalten uns vor, diese Datenschutz­erklärung anzupassen. Die aktuelle Version ist stets in der App und auf unserer Website verfügbar. Wesentliche Änderungen werden Ihnen per E-Mail mitgeteilt.