MEB-Kompass

1. Verantwortlicher

Gerion Heese, [Anschrift], E-Mail: [E-Mail-Adresse].
Einen Datenschutzbeauftragten haben wir nicht benannt, weil dazu keine Pflicht besteht.

2. Das Wichtigste vorab

• Wir setzen keine Analyse-, Tracking- oder Werbewerkzeuge ein.
• Wir setzen nur ein technisch notwendiges Cookie für die Anmeldung.
• Ihre Eingaben speichert unser Server nur, wenn Sie ein Projekt speichern. Berichte entstehen beim Herunterladen und werden auf dem Server nicht abgelegt.
• Adresssuche und Standortdaten fragt unser Server ab, nicht Ihr Browser. Von einem fremden Server lädt Ihr Browser nur die Kartenbilder des Landes NRW (Abschnitt 11); die Programmbibliotheken werden vom eigenen Server ausgeliefert (Abschnitt 12).

3. Hosting

Die Anwendung läuft auf einem Server von [Hosting-Anbieter, Sitz] in einem Rechenzentrum in [Ort, Land]. Der Anbieter verarbeitet die Daten in unserem Auftrag auf Grundlage eines Vertrags über Auftragsverarbeitung (Art. 28 DSGVO).

4. Zugriffsprotokoll

Bei jedem Aufruf einer Seite oder Funktion – auch ohne Anmeldung, ausgenommen reine Gestaltungsdateien – speichern wir: Zeitpunkt, Kontoname (wenn angemeldet), IP-Adresse, Art und Pfad der Anfrage (ohne Suchbegriffe), Antwortstatus und Bearbeitungsdauer.

Zweck: Sicherheit des Dienstes, Erkennen und Begrenzen von Angriffen und Missbrauch (die Zahl der Anfragen je Konto und der Fehlversuche je IP-Adresse wird hieraus gezählt), Fehleranalyse, Nachweis von Zugriffen, eine Nutzungsübersicht für den Betreiber (wie oft und wann ein Konto die Anwendung genutzt hat, ohne IP-Adressen).
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren Betrieb).
Speicherdauer: 90 Tage, danach werden die Einträge automatisch gelöscht.

Daneben halten das Betriebsprotokoll der Anwendung (Anmeldungen und abgelehnte Anmeldeversuche mit Kontoname und IP-Adresse, technische Fehler) und der vorgeschaltete Webserver technische Protokolle fest. Sie werden nach [Anzahl] Tagen gelöscht.

5. Anmeldung und Konto

Konten legen wir für benannte Personen unserer Kunden an; eine Selbstregistrierung gibt es nicht. Wir speichern: Kontoname (das kann eine E-Mail-Adresse sein), das Passwort nur als nicht umkehrbaren Hashwert, Organisation, Rolle, ob das Konto aktiv ist, Zeitpunkt der Anlage und der letzten Anmeldung sowie Fehlversuche und Sperrzeiten.

Zweck: Zugang zur Anwendung, Schutz vor unbefugtem Zugriff, Trennung der Daten nach Organisation.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag); für Personen, die nicht selbst Vertragspartner sind, Art. 6 Abs. 1 lit. f DSGVO (Interesse des Kunden und des Anbieters an der Durchführung des Vertrags).
Speicherdauer: bis zur Löschung des Kontos, nach Vertragsende spätestens nach 30 Tagen.

6. Cookie für die Anmeldung

Wir setzen ein einziges Cookie, „bemeb_sitzung“. Es entsteht schon auf der Anmeldeseite, weil es dort ein Schutzmerkmal gegen untergeschobene Formularaufrufe trägt. Nach der Anmeldung enthält es zusätzlich die interne Nummer Ihres Kontos und den Zeitpunkt der Anmeldung. Der Inhalt ist gegen Veränderung signiert; das Cookie ist für Skripte nicht lesbar, wird nur verschlüsselt übertragen und nicht an fremde Seiten gesendet.

Dauer: nach der Anmeldung höchstens 12 Stunden, vorher bis zum Schließen des Browsers. Abmelden leert es. Ohne dieses Cookie ist keine Anmeldung möglich.
Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich) und Art. 6 Abs. 1 lit. b und f DSGVO.

7. Speicher in Ihrem Browser

Damit beim Neuladen nichts verloren geht, sichert die Anwendung Ihre laufenden Eingaben automatisch im lokalen Speicher Ihres Browsers; der Eintrag trägt Ihren Kontonamen, damit auf einem geteilten Rechner kein anderes Konto ihn vorfindet. Im Sitzungsspeicher merkt sie sich die zuletzt geöffnete Station und Ansicht. Diese Daten bleiben in Ihrem Browser und werden nicht an uns übertragen. „Verwerfen“ löscht die gesicherten Eingaben, „Abmelden“ löscht sie und den Sitzungsspeicher.

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (für die von Ihnen gewünschte Funktion erforderlich), Art. 6 Abs. 1 lit. b DSGVO.

8. Projektdaten und Berechnungen

Was Sie eingeben, verarbeitet unser Server, um zu rechnen, zu prüfen und Berichte zu erzeugen: Projektname, Standort (Adresse, Koordinaten), Bauwerk und Schichtaufbau, Ersatzbaustoffe, Mengen, Analysen- und Eluatwerte, den Namen des Bearbeiters und die abgerufenen Standortdaten mit ihrer Herkunft.

• Berechnungen und Berichte (HTML, PDF, Word, Excel) entstehen im Arbeitsspeicher und werden auf dem Server nicht abgelegt.
• Hochgeladene Prüfberichte (Excel, PDF) liest der Server in einem temporären Ordner aus und löscht die Datei unmittelbar danach; übernommen werden nur die erkannten Werte.
• Gespeichert werden Eingaben nur, wenn Sie ein Projekt speichern – zusammen mit dem Projektnamen, Ihrer Organisation, dem Kontonamen, der es angelegt hat, und den Zeitpunkten von Anlage und Änderung. Gespeicherte Projekte sehen nur Konten Ihrer Organisation.

Diese Daten sind überwiegend nicht personenbezogen. Sie können es werden, etwa über die Adresse eines Privatgrundstücks oder über Namen. Bitte tragen Sie in Projektnamen keine Namen von Privatpersonen ein.

Zweck: Berechnung, Bericht, Wiederaufnahme der Arbeit.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Personenbezogene Daten Dritter verarbeiten wir im Auftrag des Kunden (Art. 28 DSGVO).
Speicherdauer: bis Sie das Projekt löschen, nach Vertragsende spätestens nach 90 Tagen. Bei Fachberichten mit Prüfung bewahren wir den Bericht und die Prüfunterlagen bis zum Ablauf der Verjährungsfristen für Ansprüche aus dem Auftrag auf, um die Prüfung nachweisen zu können (Art. 6 Abs. 1 lit. f DSGVO).

9. Adresssuche

Wenn Sie eine Adresse eingeben oder einen Punkt auf der Karte wählen, sendet unser Server den Suchtext oder die Koordinaten an

• Photon (photon.komoot.io, komoot GmbH, Potsdam) – für die Vorschläge beim Tippen und die Adresse zu einem Kartenpunkt,
• Nominatim (nominatim.openstreetmap.org, OpenStreetMap Foundation, Vereinigtes Königreich) – für die Suche über den Suchknopf.

Ihre IP-Adresse wird dabei nicht übermittelt, nur die unseres Servers. Für das Vereinigte Königreich hat die EU-Kommission ein angemessenes Datenschutzniveau festgestellt (Art. 45 DSGVO).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.
Die Ergebnisse beruhen auf OpenStreetMap-Daten (© OpenStreetMap-Mitwirkende, ODbL).

10. Standortdaten aus Diensten des Landes NRW

Für die Bewertung fragt unser Server Dienste öffentlicher Stellen in Nordrhein-Westfalen ab:

• mit den Koordinaten des Standorts die Bodenkarte BK50 des Geologischen Dienstes NRW und die Wasserschutzgebiete des LANUK NRW (www.wms.nrw.de);
• Datensätze von www.opengeodata.nrw.de: Grundwassermessstellen und Wasserstände (OpenHygrisC), Sickerwasserraten (mGROWA) und Kacheln des Geländemodells von Geobasis NRW für die Umgebung des Standorts.

Dabei werden höchstens Koordinaten übermittelt, keine Kontodaten und nicht Ihre IP-Adresse. Heruntergeladene Datensätze hält der Server zwischengespeichert vor; sie enthalten keine Angaben über Nutzer.

11. Kartendarstellung im Browser

Für die Karte lädt Ihr Browser Kartenbilder und Luftbilder direkt vom Kartendienst des Landes Nordrhein-Westfalen (www.wms.nrw.de, Geobasis NRW); auf kleinen Maßstäben liefert dieser Dienst Übersichtskarten des Bundesamts für Kartographie und Geodäsie aus. Der Betreiber des Dienstes erhält dabei Ihre IP-Adresse, technische Angaben Ihres Browsers und den angezeigten Kartenausschnitt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Darstellung des Standorts auf einer amtlichen Karte).

12. Programmbibliotheken

Die Anwendung nutzt die Programmbibliotheken Chart.js, Hammer.js, chartjs-plugin-zoom und Leaflet (samt deren Kartensymbolen). Die Bibliotheken werden vom eigenen Server ausgeliefert, zusammen mit der übrigen Anwendung (Abschnitt 3). Ein öffentliches Auslieferungsnetz (CDN) oder ein anderer fremder Anbieter ist dabei nicht beteiligt. Wie alle Gestaltungsdateien erscheinen diese Abrufe nicht im Zugriffsprotokoll (Abschnitt 4).

13. Kontakt, Verträge und Rechnungen

Wenn Sie uns schreiben oder anrufen, verarbeiten wir Ihre Angaben, um die Anfrage zu bearbeiten (Art. 6 Abs. 1 lit. b oder f DSGVO). Wir löschen sie nach Erledigung, spätestens nach sechs Monaten, soweit keine Aufbewahrungspflicht besteht.

Vertrags- und Rechnungsdaten bewahren wir nach den handels- und steuerrechtlichen Fristen auf (§ 257 HGB, § 147 AO; Art. 6 Abs. 1 lit. c DSGVO).

14. Empfänger

• der Hosting-Anbieter als Auftragsverarbeiter (Abschnitt 3),
• die Dienste der Adresssuche – nur Suchtext oder Koordinaten (Abschnitt 9),
• die Dienste des Landes NRW – nur Koordinaten (Abschnitt 10),
• der Kartendienst des Landes NRW, der Ihre IP-Adresse von Ihrem Browser erhält (Abschnitt 11),
• die Steuerberatung, soweit es für Rechnungen nötig ist,
• Behörden nur, wenn eine gesetzliche Pflicht besteht.

15. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20).

Widerspruchsrecht: Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO).

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), etwa bei der Aufsichtsbehörde am Sitz des Anbieters; in Nordrhein-Westfalen ist das die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen.

16. Weiteres

Pflicht zur Bereitstellung: Ohne Kontodaten ist keine Nutzung möglich, ohne Projektdaten kann die Anwendung nicht rechnen.

Keine automatisierten Entscheidungen über Personen: Die Anwendung bewertet Baustoffe und Standorte, keine Personen (Art. 22 DSGVO).

Sicherheit: verschlüsselte Übertragung (TLS), Passwörter nur als Hashwert, Sperre nach wiederholten Fehlversuchen, Begrenzung der Anfragen, Trennung der Daten nach Organisation.