1. Verantwortlicher
Lux Digital Solutions S.à.r.l-s5, Biirkewee, 3896 Foetz, LuxemburgE-Mail: support@buildflow.lu
2. Übersicht der Datenverarbeitung
BuildFlow ist eine SaaS-Plattform für Bauunternehmen, Architekturbüros, Ingenieurbüros, Project Manager und Promoteure zur Verwaltung von Bauprojekten, Kommunikation mit Kunden und Dokumentation des Baufortschritts. Wir verarbeiten personenbezogene Daten ausschließlich im Rahmen der Nutzung unserer Plattform und auf Grundlage der geltenden Datenschutzgesetze.
3. Rechtsgrundlagen der Verarbeitung
Wir verarbeiten personenbezogene Daten auf folgenden Rechtsgrundlagen:
- Art. 6 Abs. 1 lit. a DSGVO – Einwilligung (z. B. bei Kontaktaufnahme)
- Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung (Bereitstellung der SaaS-Plattform, Abonnement-Verwaltung)
- Art. 6 Abs. 1 lit. c DSGVO – Rechtliche Verpflichtung (Aufbewahrungspflichten, Rechnungsstellung)
- Art. 6 Abs. 1 lit. f DSGVO – Berechtigtes Interesse (Sicherheit der Plattform, Betrugsprävention)
4. Kategorien personenbezogener Daten
4.1 Kontodaten
- E-Mail-Adresse
- Vollständiger Name
- Passwort (gehashed gespeichert)
- Profilbild (optional)
- Rolle (Administrator, Teammitglied oder Kunde)
- E-Mail-Adressen der Bauherren (Empfänger der OTP-Magic-Links für /c/:slug Zugang)
4.2 Unternehmensdaten
- Firmenname, Adresse, Telefon, E-Mail, Website
- Unternehmenstyp (Bauunternehmen, Architekturbüro, Ingenieurbüro, Project Manager, Promoteur)
- Logo
4.3 Projektdaten
- Projektname, Adresse, Beschreibung
- Baufortschrittsdaten (Bauphasen, Status)
- Fotos von Baustellen (Baustellenbilder)
- Dokumente (Verträge, Pläne, Rechnungen)
- Nachrichten zwischen Unternehmen und Kunden
- Projekt-Updates und Reaktionen darauf
- Hilfe-Chat-Anfragen (Frage, Antwort, Zeitpunkt)
- Aufgaben mit Zuweisung, Deadline und Status (inkl. Erinnerungs-E-Mails)
- Anonymer öffentlicher Link mit shareToken (read-only Zugriff auf Foto-Updates ohne Login)
4.4 Zahlungsdaten
- Stripe-Kunden-ID und Abonnement-ID
- Gewählter Abonnement-Plan und Status
- Zahlungshistorie (verwaltet durch Stripe)
Hinweis: Kreditkartennummern und Bankdaten werden ausschließlich von Stripe verarbeitet und nie auf unseren Servern gespeichert.
4.5 Technische Daten
- IP-Adresse
- Browser-Typ und -Version
- Betriebssystem
- Zeitpunkt des Zugriffs
- JWT-Authentifizierungstoken (temporär)
- Bauherren-OTP-Code (E-Mail-Token, 15 Min Gültigkeit, dann automatisch verfällt)
- Bauherren-Bearer-Token Cookie (30 Tage Gültigkeit für /c/:slug Sessions)
5. Drittanbieter und Auftragsverarbeiter
5.1 Supabase (Datenbank & Authentifizierung)
Anbieter: Supabase Inc., 970 Toa Payoh North #07-04, Singapore 318992Zweck: Datenbank-Hosting (PostgreSQL), Benutzerauthentifizierung, Dateispeicherung, Serverless Edge FunctionsServerstandort: EU (eu-central-1, Frankfurt, Deutschland)Daten: Alle Plattformdaten (Benutzer, Projekte, Nachrichten, Dokumente)Datenschutz: supabase.com/privacy
5.2 Stripe (Zahlungsabwicklung)
Anbieter: Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, IrlandZweck: Abwicklung von Abonnement-Zahlungen, Checkout-Sessions, KundenportalDaten: E-Mail-Adresse, Zahlungsinformationen, Abonnement-StatusRechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)Datenschutz: stripe.com/de/privacy
5.3 Anthropic (KI-Textgenerierung)
Anbieter: Anthropic, PBC, 548 Market St, PMB 90375, San Francisco, CA 94104, USAZweck: Automatische Generierung von kundenfreundlichen Baufortschrittsbeschreibungen und optionale Bildanalyse von BaustellenfotosModell: Claude Haiku 4.5Daten: Bauphase, Status, Fertigstellungsdatum; optional: anonymisierte BaustellenfotosWichtig: Es werden keine personenbezogenen Daten (Namen, Adressen) an Anthropic übertragen. Die KI-Verarbeitung erfolgt ausschließlich auf Basis technischer Projektdaten (Phase, Status, Datum). Laut Anthropic werden API-Eingaben nicht für das Training verwendet.Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse)Datenschutz: anthropic.com/privacy
Hinweis zur KI-Verarbeitung: Die durch KI generierten Texte dienen als Vorschläge und können vom Nutzer vor der Veröffentlichung bearbeitet werden. Die KI trifft keine autonomen Entscheidungen und hat keinen Zugriff auf personenbezogene Kundendaten.
5.4 OpenAI Whisper (Sprach-Transkription)
Anbieter: OpenAI, L.L.C., 3180 18th Street, San Francisco, CA 94110, USAZweck: Transkription von Sprachaufnahmen aus dem Voice-Rapport-Modul (Compte-Rendu de Chantier) zu Text. Die Audio-Daten werden nur verarbeitet, nicht dauerhaft bei OpenAI gespeichert.Modell: whisper-1 (OpenAI Audio Transcription API)Daten: Sprachaufnahmen aus dem Voice-Recorder; das Audiomaterial kann projektbezogene Beschreibungen sowie Stimmen der erfassenden Person und ggf. anwesender Personen enthalten.Drittlandtransfer: Übertragung in die USA. OpenAI ist seit 2024 unter dem EU-US Data Privacy Framework selbstzertifiziert. Audio-Daten werden laut OpenAI nicht für das Training verwendet (API-Nutzung).Aufbewahrung: Audio-Files werden bei BuildFlow für maximal 30 Tage als Audit-Trail gespeichert (cr_items.voice_transcript) und danach automatisch gelöscht.Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — Voice-Rapport-Funktion ist Teil des Pro-Plans)Datenschutz: openai.com/policies/privacy-policy
5.5 Browserless (PDF-Generierung)
Anbieter: Browserless GmbH, Berlin, DeutschlandZweck: Server-seitige Erzeugung von PDF-Dokumenten aus HTML-Templates (Voice-Rapport-PDFs, Projekt-Berichte). Die HTML-Inhalte werden zur PDF-Konvertierung temporär an Browserless übermittelt.Daten: HTML-Inhalt des zu generierenden PDFs (kann Projektnamen, Adressen, Status-Informationen, Texte des Verfassers enthalten).Aufbewahrung: Browserless verarbeitet die Daten nur temporär für die PDF-Konvertierung und speichert sie laut eigenen Aussagen nicht dauerhaft.Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)Datenschutz: browserless.io/privacy
5.6 Resend (E-Mail-Versand)
Anbieter: Resend Inc., 2261 Market Street #5039, San Francisco, CA 94114, USAZweck: Versand von transaktionalen E-Mails (Kundeneinladungen, Passwort-Links)Daten: E-Mail-Adresse des Empfängers, Projektname, EinladungslinkRechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)Datenschutz: resend.com/legal/privacy-policy
5.7 Vercel (Hosting)
Anbieter: Vercel Inc., 440 N Baxter St #4133, Covina, CA 91723, USAZweck: Hosting der Web-Applikation und der Marketing-WebsiteDaten: IP-Adresse, HTTP-Anfragen (Serverprotokolle)Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse)Datenschutz: vercel.com/legal/privacy-policy
5.8 Google OAuth (Authentifizierung)
Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, IrlandZweck: Optionale Anmeldung über Google-KontoDaten: Name, E-Mail-Adresse, Profilbild (aus Google-Konto)Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch aktive Nutzung)Datenschutz: policies.google.com/privacy
5.9 Apple Sign-In (Authentifizierung)
Anbieter: Apple Distribution International Ltd., Hollyhill Industrial Estate, Cork, IrlandZweck: Optionale Anmeldung über Apple-IDDaten: Name, E-Mail-Adresse (Apple bietet Möglichkeit einer privaten Relay-E-Mail)Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch aktive Nutzung)Datenschutz: apple.com/legal/privacy
5.10 Sentry (Fehler-Monitoring)
Anbieter: Functional Software, Inc. dba Sentry, 132 Hawthorne Street, San Francisco, CA 94107, USA — verarbeitet jedoch ausschließlich in der EU-Region (Frankfurt, Deutschland)Zweck: Erfassung und Analyse von technischen Fehlern in der App und in den Server-Funktionen, damit Probleme schnell behoben werden können (Stabilität, Verfügbarkeit).Daten: Fehler-Stack-Traces, Browser/Server-Version, anonymisierte User-ID (intern), Edge-Function-Name, Fehler-Zeitstempel. Keine Inhalte (Foto, Nachrichten, Dokumente) werden übertragen.Serverstandort: EU-Region (Frankfurt, Deutschland) — Daten verlassen nicht den europäischen Wirtschaftsraum.Aufbewahrung: 30 Tage (Standard-Sentry-Retention), danach automatische Löschung. Sensible Felder (Passwörter, Tokens) werden bereits bei der Übertragung herausgefiltert.Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem stabilen Dienst)Datenschutz: sentry.io/privacy
5.11 Google Analytics 4 (Webanalyse)
Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, IrlandZweck: Analyse der Website-Nutzung, Messung von Besucherströmen und Conversion-TrackingDaten: IP-Adresse (anonymisiert), Seitenaufrufe, Verweildauer, Gerätetyp, Herkunftsquelle, Conversion-Events (Registrierung, Upgrade)Cookies: _ga (2 Jahre), _ga_* (2 Jahre) · zur Unterscheidung eindeutiger NutzerRechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung über Cookie-Banner)IP-Anonymisierung: Aktiviert · die IP-Adresse wird vor der Speicherung gekürzt (anonymize_ip: true)Ladung: Scripts werden erst nach aktiver Einwilligung im Cookie-Banner dynamisch nachgeladen. Ohne Einwilligung findet keine Übertragung statt.Opt-Out: Über den Cookie-Banner (Einstellungen erneut öffnen in der Cookie-Richtlinie) oder das Browser-Addon Google Analytics Opt-OutDatenschutz: policies.google.com/privacy
5.12 Meta Pixel (Werbemessung)
Anbieter: Meta Platforms Ireland Limited, 4 Grand Canal Square, Dublin 2, IrlandZweck: Messung der Wirksamkeit von Werbeanzeigen auf Facebook und Instagram, Retargeting, Conversion-TrackingDaten: IP-Adresse, Seitenaufrufe, Conversion-Events (Registrierung, Upgrade), Geräte- und Browser-InformationenCookies: _fbp (3 Monate) · zur Zuordnung von Seitenbesuchen zu Meta-WerbeanzeigenRechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung über Cookie-Banner)Ladung: Das Pixel-Script wird erst nach aktiver Einwilligung im Cookie-Banner dynamisch nachgeladen. Ohne Einwilligung findet keine Übertragung an Meta statt.Gemeinsame Verantwortlichkeit: Für die Erhebung und Übertragung der Daten sind wir gemeinsam mit Meta verantwortlich (Art. 26 DSGVO). Details zur Vereinbarung: Controller AddendumOpt-Out: Über den Cookie-Banner (Einstellungen erneut öffnen in der Cookie-Richtlinie) oder über die Meta WerbeeinstellungenDatenschutz: facebook.com/privacy/policy
5.13 Microsoft Clarity (UX-Analyse)
Anbieter: Microsoft Corporation, One Microsoft Way, Redmond, WA 98052-6399, USAZweck: Verständnis der Nutzung der Plattform durch Heatmaps und Session-Recordings (Maus-Bewegung, Scroll-Verhalten, Klicks — kein Audio, keine Audio-Aufnahme), um die Benutzerfreundlichkeit gezielt zu verbessern.Daten: Klick-Koordinaten, Scroll-Tiefe, Mausbewegungen, besuchte Seiten, Session-Dauer, Browser/Gerät-Typ, anonymisierte Session-ID. Eingaben in Formulare (Texte in Input-, Textarea- und contenteditable-Feldern) werden technisch maskiert (Punkte statt Text — maskInputs: true).Cookies: _clck (1 Jahr), _clsk (1 Tag) · zur Wiedererkennung von SessionsServerstandort: USA — Datenübermittlung erfolgt auf Grundlage der EU-Standardvertragsklauseln (SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO sowie eines Auftragsverarbeitungsvertrags (DPA) mit Microsoft.Aufbewahrung: Standard-Clarity-Retention: Sessions werden für maximal 13 Monate gespeichert, danach automatisch gelöscht.Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung über Cookie-Banner)Ladung: Das Clarity-Script wird erst nach aktiver Einwilligung im Cookie-Banner dynamisch nachgeladen. Ohne Einwilligung findet keine Übertragung an Microsoft statt.Opt-Out: Über den Cookie-Banner (Einstellungen erneut öffnen in der Cookie-Richtlinie) oder über die Microsoft-DatenschutzeinstellungenDatenschutz: privacy.microsoft.com
6. Speicherung von Dateien und Bildern
Nutzer können Baustellenfotos, Dokumente und andere Dateien auf die Plattform hochladen. Diese werden in Supabase Storage (EU-Rechenzentrum) gespeichert. Hochgeladene Dateien werden serverseitig auf erlaubte MIME-Typen und Dateigröße (max. 20 MB für Bilder, max. 50 MB für Dokumente) validiert. Dateinamen werden beim Upload anonymisiert (kryptographische Zufallsnamen).
Projektfotos können vom Administrator als öffentlich geteilt werden (öffentliches Projektportal). In diesem Fall sind die Fotos über einen öffentlichen Link zugänglich.
7. Speicherdauer
- Kontodaten: Bis zur Löschung des Kontos durch den Nutzer oder das Unternehmen
- Projektdaten: Bis zur Löschung des Projekts oder des Unternehmenskontos
- Zahlungsdaten: Gemäß gesetzlicher Aufbewahrungspflichten (10 Jahre für Rechnungsdaten)
- Serverprotokolle: Maximal 30 Tage
- KI-Verarbeitungsdaten: Werden nicht dauerhaft gespeichert; nur das generierte Ergebnis wird in der Bauphase gespeichert
- Hilfe-Chat-Anfragen: Fragen im Hilfe-Chat werden gespeichert, um unseren Support zu verbessern und häufige Probleme schneller zu erkennen. Es werden Frage, Antwort und Zeitpunkt gespeichert. Diese Daten werden ausschließlich intern zur Produktverbesserung verwendet und nicht an Dritte weitergegeben.
- Daten nach Kündigung: Nach Kündigung eines kostenpflichtigen Plans werden alle Daten auf dem Free-Plan behalten. Nach vollständiger Kontolöschung werden alle personenbezogenen Daten innerhalb von 30 Tagen gelöscht, soweit keine gesetzliche Aufbewahrungspflicht besteht. Rechnungsdaten bei Stripe werden gemäß steuerrechtlicher Aufbewahrungspflicht für 10 Jahre aufbewahrt.
- Authentifizierungs-Tokens OTP-Codes verfallen nach 15 Minuten automatisch · Bauherren-Bearer-Cookies nach 30 Tagen · JWT-Sessions nach 7 Tagen
8. Datenübermittlung in Drittländer
Einige unserer Dienstleister haben ihren Sitz in den USA (Anthropic, OpenAI, Resend, Vercel). Die Datenübermittlung erfolgt auf Grundlage von:
- EU-US Data Privacy Framework (DPF) gemäß Angemessenheitsbeschluss der EU-Kommission
- Standardvertragsklauseln (SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO
Supabase betreibt die Datenbank in der EU (Irland). Stripe verarbeitet Zahlungen über seine europäische Niederlassung in Dublin.
9. Ihre Rechte als Betroffener
Sie haben gemäß DSGVO folgende Rechte:
- Auskunftsrecht (Art. 15) – Recht auf Auskunft über gespeicherte Daten
- Berichtigungsrecht (Art. 16) – Recht auf Korrektur unrichtiger Daten
- Löschungsrecht (Art. 17) – Recht auf Löschung Ihrer Daten („Recht auf Vergessenwerden“)
- Einschränkungsrecht (Art. 18) – Recht auf Einschränkung der Verarbeitung
- Datenportabilität (Art. 20) – Recht auf Übertragung Ihrer Daten in einem gängigen Format
- Widerspruchsrecht (Art. 21) – Recht auf Widerspruch gegen die Verarbeitung
- Widerruf der Einwilligung (Art. 7 Abs. 3) – Recht auf jederzeitigen Widerruf erteilter Einwilligungen
Zur Ausübung Ihrer Rechte wenden Sie sich an: support@buildflow.lu
10. Automatisierte Entscheidungsfindung (Art. 22 DSGVO)
Wir setzen keine automatisierten Entscheidungsprozesse oder Profiling ein, die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlich erheblicher Weise beeinträchtigen. KI-generierte Inhalte (z. B. Baufortschrittsbeschreibungen aus Foto-Analyse) sind Vorschläge zur Unterstützung des Administrators · die Inhalte werden stets manuell geprüft und freigegeben. Gemäß EU AI Act (Verordnung (EU) 2024/1689, Art. 50) werden KI-unterstützte Updates für den Bauherrn mit dem Hinweis „KI-unterstützt" transparent gekennzeichnet, sobald sie veröffentlicht sind.
11. Beschwerderecht
Sie haben das Recht, sich bei der zuständigen Datenschutz-Aufsichtsbehörde zu beschweren:
Commission Nationale pour la Protection des Données (CNPD)15, Boulevard du JazzL-4370 Belvaux, Luxemburgcnpd.public.lu
12. Sicherheit
Wir setzen umfangreiche technische und organisatorische Maßnahmen ein, um Ihre Daten zu schützen:
- Verschlüsselte Übertragung (HTTPS/TLS) für alle Verbindungen
- Row Level Security (RLS) auf Datenbankebene – jedes Unternehmen sieht nur eigene Daten
- JWT-Authentifizierung mit automatischer Token-Erneuerung
- Content Security Policy (CSP), HSTS und weitere Sicherheitsheader
- SSRF-Schutz bei KI-Analyse (nur erlaubte URLs)
- Gehashte Passwörter (bcrypt via Supabase Auth)
- CORS-Einschränkungen auf autorisierte Domains
- Server-seitige Validierung aller Uploads (MIME-Type, Dateigröße, Doppel-Extension-Schutz)