Da­ten­schutz Bau­herren-Portal

Diese Erklärung gilt für das Bauherren-Portal der Ground Control GmbH (portal.groundcontrol.at). Für die Website groundcontrol.at gilt die Datenschutzerklärung der Website. Grundlage sind die Datenschutz-Grundverordnung (DSGVO) und das österreichische Datenschutzgesetz (DSG).

Ver­ant­wort­li­cher

Firma

Ground Control GmbH

Anschrift

Weißes Kreuz Gasse 80/1, 2340 Mödling, Österreich

Firmenbuch

FN 690037 k, Landesgericht Wiener Neustadt

Geschäfts­führer

DI Kevin Soemmer, BSc

E-⁠Mail

office@groundcontrol.at

Die Ground Control GmbH führt das Portal im Rahmen ihrer Mandate als Örtliche Bauaufsicht und Projektsteuerung. Soweit sie dabei personenbezogene Daten im Auftrag des Bauherrn verarbeitet, kann sie im Verhältnis zum Bauherrn Auftragsverarbeiter sein (Art. 28 DSGVO); dann regelt der Mandatsvertrag die Einzelheiten.

Wer Zugang hat

Das Portal ist nicht öffentlich. Zugang haben nur Personen, die wir zu einem Projekt einladen, und nur zu diesem Projekt. Es gibt drei Rollen:

• Örtliche Bauaufsicht: erfasst und bearbeitet die Projektdaten.
• Bauherr: sieht alle Daten seines Projekts und kann Berichte abrufen und kommentieren.
• Bank: sieht nur Kennzahlen und die für sie freigegebenen Berichte, keine Einzeldaten, keine Mängel und keine Daten von Käufern.

Die Rechte sind in der Datenbank selbst hinterlegt (Zeilensicherheit): Was eine Rolle nicht sehen darf, wird gar nicht ausgeliefert.

Welche Daten verarbeitet werden

• Benutzerkonto: Name, E-⁠Mail-Adresse, Organisation, Funktion, Kennwort (nur als nicht umkehrbarer Prüfwert gespeichert), Rolle im Projekt, auf Wunsch ein zweiter Anmeldefaktor (Authenticator-App).
• Projektdaten: Termine, Bauzeitplan, Kosten, Rechnungen, Nachträge, Verträge, Prüfungen, Mängel, Aufgaben, Protokolle, Berichte und Kommentare, jeweils mit erfassender Person und Zeitpunkt.
• Kontaktdaten von Projektbeteiligten: Name, Funktion, Firma, E-⁠Mail und Telefon von Ansprechpartnern ausführender Firmen, Planer und Behörden sowie Teilnehmer und Verteiler von Besprechungen.
• Daten von Käufern und Mietern, soweit für Sonderwünsche, Übergaben und Gewährleistung nötig: Name, Kontaktdaten, Wohnung, Termine aus dem Kaufvertrag. Sie sind nur für die Örtliche Bauaufsicht und den Bauherrn sichtbar, nie für die Bank.
• Fotos und Dokumente: Fotos von der Baustelle mit Aufnahmezeit, Ort auf der Baustelle (Stiege, Geschoß) und der Person, die sie hochgeladen hat. Die Bilddateien werden unverändert gespeichert; enthält eine Datei vom Gerät eingebettete Angaben wie GPS-Koordinaten, bleiben diese in der Datei erhalten. Abruf nur über zeitlich begrenzte Links.
• Änderungsprotokoll: Damit jeder Eintrag nachweisbar bleibt, wird bei Änderungen festgehalten, wer was wann geändert hat, und wer wann ein Dokument heruntergeladen hat. Dieses Protokoll kann nicht nachträglich verändert werden. Bei Käuferdaten wird nur vermerkt, dass sich ein Feld geändert hat, nicht der Inhalt.

Zweck und Rechts­grund­lage

Wir verarbeiten die Daten, um die vereinbarten Leistungen der Örtlichen Bauaufsicht und Projektsteuerung zu erbringen und nachweisbar zu dokumentieren (Art. 6 Abs. 1 lit. b DSGVO, Vertrag mit dem Bauherrn). Daten von Projektbeteiligten und Käufern verarbeiten wir, weil die Abwicklung des Bauvorhabens sie erfordert (Art. 6 Abs. 1 lit. f DSGVO) und gesetzliche Aufbewahrungs- und Nachweispflichten bestehen (Art. 6 Abs. 1 lit. c DSGVO).

Technik und Dienst­leis­ter

Für das Portal setzen wir drei Auftragsverarbeiter ein: Supabase (Datenbank, Anmeldung, Dateispeicher, Serverfunktionen), IONOS (Auslieferung der Anwendung) und Anthropic (KI-⁠Modell für den Eingang und „Claude fragen“, siehe nächster Abschnitt).

Datenbank, Anmeldung, Dateispeicher und Serverfunktionen: Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513. Die Daten liegen in einem Rechenzentrum in Frankfurt am Main (Region eu-central-1). Supabase verarbeitet sie als Auftragsverarbeiter (Art. 28 DSGVO) auf Grundlage seines Auftragsverarbeitungsvertrags.

Supabase hat seinen Sitz in Singapur und setzt Unterauftragsverarbeiter ein, die zum Teil in den USA sitzen, etwa für Support. Für Singapur gibt es keinen Angemessenheitsbeschluss der EU, und Supabase ist nicht unter dem EU-US Data Privacy Framework zertifiziert. Ein Zugriff aus diesen Ländern stützt sich auf die Standardvertragsklauseln der EU-⁠Kommission (Art. 46 Abs. 2 lit. c DSGVO), die Teil des Vertrags mit Supabase sind.

Supabase speichert technische Protokolle der Zugriffe, darunter IP-Adressen, je nach Tarif 1 bis 90 Tage.

Auslieferung der Portal-Anwendung: IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, Deutschland (Deploy Now). IONOS liefert die Programmdateien des Portals aus; die Projektdaten selbst liegen bei Supabase in Frankfurt. Beim Aufruf fallen technisch notwendige Zugriffsdaten an (IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browserkennung). IONOS verarbeitet sie als Auftragsverarbeiter (Art. 28 DSGVO) auf Grundlage des Auftragsverarbeitungsvertrags, der Teil der Allgemeinen Geschäftsbedingungen von IONOS ist.

Schriften liegen auf dem eigenen Server; das Portal lädt keine Inhalte von Google, sozialen Netzwerken oder Analysediensten nach.

KI-⁠gestützte Ver­ar­bei­tung

Die Örtliche Bauaufsicht kann eingehende Dokumente (PDF) in einen Eingang des Portals laden. Ein KI-⁠Modell (Claude) liest das Dokument und schlägt vor, zu welchem Projekt und Bereich es gehört, dazu Nummer, Datum, Absender und eine kurze Inhaltsangabe. Übernommen wird ein Vorschlag erst, wenn die Örtliche Bauaufsicht ihn geprüft und bestätigt hat; jedes Datum bestätigt sie dabei einzeln. Eine automatisierte Entscheidung findet nicht statt. Den Eingang sehen nur Personen in der Rolle Örtliche Bauaufsicht.

Mit der Funktion „Claude fragen“ kann die Örtliche Bauaufsicht außerdem Fragen zu ihren Projekten stellen. Das KI-⁠Modell antwortet aus den Daten des Portals; es liest nur und ändert nichts. Daten von Käufern liest diese Funktion nicht.

Dabei wird der Inhalt des Dokuments bzw. die Frage mit den dafür nötigen Projektdaten an das KI-⁠Modell übermittelt. Dokumente können Namen und Kontaktdaten von Projektbeteiligten enthalten. Dokumente mit Daten von Käufern gehören nicht in den Eingang; die Maske weist darauf hin. Zweck und Rechtsgrundlage sind dieselben wie für die übrigen Projektdaten (siehe oben).

KI-⁠Modell: Anthropic Ireland, Limited, Vertragspartner für Kunden im Europäischen Wirtschaftsraum. Anthropic verarbeitet die Daten als Auftragsverarbeiter (Art. 28 DSGVO) auf Grundlage seines Auftragsverarbeitungsvertrags, der Teil der Geschäftsbedingungen für die Nutzung der Programmierschnittstelle (API) ist. Dabei können Daten in Länder außerhalb des Europäischen Wirtschaftsraums übermittelt werden; dafür gelten die Standardvertragsklauseln der EU-⁠Kommission (Art. 46 Abs. 2 lit. c DSGVO), die Teil dieses Vertrags sind.

Anthropic darf die übermittelten Inhalte laut Vertrag nicht zum Training seiner Modelle verwenden. Nach eigenen Angaben löscht Anthropic Eingaben und Ergebnisse der Programmierschnittstelle innerhalb von 30 Tagen. Ausgenommen sind Inhalte, die bei Verdacht auf Missbrauch gekennzeichnet werden (dann bis zu zwei Jahre), und Fälle, in denen ein Gesetz die Aufbewahrung verlangt.

Im Portal bewahren wir die Dokumente, die Vorschläge und den Nachweis, was bestätigt wurde, auf, dazu die Fragen und Antworten aus „Claude fragen“. Es gilt dieselbe Speicherdauer wie für die übrigen Projektdaten (siehe Speicherdauer). Ein verworfenes Dokument kann aus dem Eingang gelöscht werden, außer es war als fristrelevant gekennzeichnet.

Speicherung im Browser

Damit Sie angemeldet bleiben, speichert das Portal ein Anmelde-Token im lokalen Speicher Ihres Browsers. Außerdem merkt es sich das zuletzt gewählte Projekt (bis zum Schließen des Tabs) und einzelne Ansichtseinstellungen. Das ist für den Betrieb technisch notwendig; Cookies, Tracking oder Analyse gibt es nicht. Beim Abmelden wird das Token entfernt.

E-⁠Mails

Das Portal versendet derzeit nur Einladungen und Nachrichten zum Zurücksetzen des Kennworts. Benachrichtigungen über Fristen oder Mängel per E-⁠Mail gibt es nicht.

Spei­cher­dauer

Projektdaten, Protokolle, Prüfungen und Fotos bewahren wir so lange auf, wie es die Nachweis- und Gewährleistungsfristen des Bauvorhabens und die gesetzlichen Aufbewahrungspflichten erfordern. Benutzerkonten deaktivieren wir, sobald jemand nicht mehr am Projekt beteiligt ist. Daten von Käufern werden nach Abschluss anonymisiert, soweit keine Aufbewahrungspflicht entgegensteht.

Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Einträge, die als Nachweis dienen, können wir nicht löschen, solange eine Aufbewahrungspflicht besteht; wir schränken sie dann ein. Schreiben Sie an office@groundcontrol.at.

Beschwerden richten Sie an die Österreichische Datenschutzbehörde, Barichgasse 40–⁠42, 1030 Wien, dsb@dsb.gv.at, dsb.gv.at.

Stand: November 2026

Zur Startseite